WHATSNEW.txt

   1                    =============================
   2                    Release Notes for Samba 4.8.4
   3                            August 14, 2018
   4                    =============================
   5
   6
   7 This is a security release in order to address the following defects:
   8
   9 o  CVE-2018-1139  (Weak authentication protocol allowed.)
  10 o  CVE-2018-1140  (Denial of Service Attack on DNS and LDAP server.)
  11 o  CVE-2018-10858 (Insufficient input validation on client directory
  12                    listing in libsmbclient.)
  13 o  CVE-2018-10918 (Denial of Service Attack on AD DC DRSUAPI server.)
  14 o  CVE-2018-10919 (Confidential attribute disclosure from the AD LDAP
  15                    server.)
  16
  17
  18 =======
  19 Details
  20 =======
  21
  22 o  CVE-2018-1139:
  23    Vulnerability that allows authentication via NTLMv1 even if disabled.
  24
  25 o  CVE-2018-1140:
  26    Missing null pointer checks may crash the Samba AD DC, both over
  27    DNS and LDAP.
  28
  29 o  CVE-2018-10858:
  30    A malicious server could return a directory entry that could corrupt
  31    libsmbclient memory.
  32
  33 o  CVE-2018-10918:
  34    Missing null pointer checks may crash the Samba AD DC, over the
  35    authenticated DRSUAPI RPC service.
  36
  37 o  CVE-2018-10919:
  38    Missing access control checks allow discovery of confidential attribute
  39    values via authenticated LDAP search expressions.
  40
  41
  42 Changes since 4.8.3:
  43 --------------------
  44
  45 o  Jeremy Allison <jra@samba.org>
  46    * BUG 13453: CVE-2018-10858: libsmb: Harden smbc_readdir_internal() against
  47      returns from malicious servers.
  48
  49 o  Andrew Bartlett <abartlet@samba.org>
  50    * BUG 13374: CVE-2018-1140: ldbsearch '(distinguishedName=abc)' and DNS query
  51      with escapes crashes, ldb: Release LDB 1.3.5 for CVE-2018-1140
  52    * BUG 13552: CVE-2018-10918: cracknames: Fix DoS (NULL pointer de-ref) when
  53      not servicePrincipalName is set on a user.
  54
  55 o  Tim Beale <timbeale@catalyst.net.nz>
  56    * BUG 13434: CVE-2018-10919: acl_read: Fix unauthorized attribute access via
  57      searches.
  58
  59 o  Günther Deschner <gd@samba.org>
  60    * BUG 13360: CVE-2018-1139 libcli/auth: Do not allow ntlmv1 over SMB1 when it
  61      is disabled via "ntlm auth".
  62
  63 o  Andrej Gessel <Andrej.Gessel@janztec.com>
  64    * BUG 13374: CVE-2018-1140 Add NULL check for ldb_dn_get_casefold() in
  65      ltdb_index_dn_attr().
  66
  67
  68 #######################################
  69 Reporting bugs & Development Discussion
  70 #######################################
  71
  72 Please discuss this release on the samba-technical mailing list or by
  73 joining the #samba-technical IRC channel on irc.freenode.net.
  74
  75 If you do report problems then please try to send high quality
  76 feedback. If you don't provide vital information to help us track down
  77 the problem then you will probably be ignored.  All bug reports should
  78 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
  79 database (https://bugzilla.samba.org/).
  80
  81
  82 ======================================================================
  83 == Our Code, Our Bugs, Our Responsibility.
  84 == The Samba Team
  85 ======================================================================
  86
  87
  88 Release notes for older releases follow:
  89 ----------------------------------------
  90
  91                    =============================
  92                    Release Notes for Samba 4.8.3
  93                             June 26, 2018
  94                    =============================
  95
  96
  97 This is the latest stable release of the Samba 4.8 release series.
  98
  99
 100 Changes since 4.8.2:
 101 --------------------
 102
 103 o  Jeremy Allison <jra@samba.org>
 104    * BUG 13428: s3: smbd: Fix SMB2-FLUSH against directories.
 105    * BUG 13457: s3: smbd: printing: Re-implement delete-on-close semantics for
 106      print files missing since 3.5.x.
 107    * BUG 13474: python: Fix talloc frame use in make_simple_acl().
 108
 109 o  Jeffrey Altman <jaltman@secure-endpoints.com>
 110    * BUG 11573: heimdal: lib/krb5: Do not fail set_config_files due to parse
 111      error.
 112
 113 o  Andrew Bartlett <abartlet@samba.org>
 114    * ldb: version 1.3.4
 115    * BUG 13448: ldb: One-level search was incorrectly falling back to full DB
 116      scan.
 117    * BUG 13452: ldb: Save a copy of the index result before calling the
 118      callbacks.
 119    * BUG 13454: No Backtrace given by Samba's AD DC by default.
 120    * BUG 13471: ldb_tdb: Use mem_ctx and so avoid leak onto long-term memory
 121      on duplicated add.
 122
 123 o  Ralph Boehme <slow@samba.org>
 124    * BUG 13432: s3:smbd: Fix interaction between chown and SD flags.
 125
 126 o  Günther Deschner <gd@samba.org>
 127    * BUG 13437: Fix building Samba with gcc 8.1.
 128
 129 o  Andrej Gessel <Andrej.Gessel@janztec.com>
 130    * BUG 13475: Fix several mem leaks in ldb_index ldb_search ldb_tdb.
 131
 132 o  Volker Lendecke <vl@samba.org>
 133    * BUG 13331: libgpo: Fix the build --without-ads.
 134
 135 o  Stefan Metzmacher <metze@samba.org>
 136    * BUG 13369: Looking up the user using the UPN results in user name with the
 137      REALM instead of the DOMAIN.
 138    * BUG 13427: Fix broken server side GENSEC_FEATURE_LDAP_STYLE handling
 139      (NTLMSSP NTLM2 packet check failed due to invalid signature!).
 140
 141 o  Christof Schmitt <cs@samba.org>
 142    * BUG 13446: smbd: Flush dfree memcache on service reload.
 143    * BUG 13478: krb5_wrap: Fix keep_old_entries logic for older Kerberos
 144      libraries.
 145
 146 o  Andreas Schneider <asn@samba.org>
 147    * BUG 13369: Looking up the user using the UPN results in user name with the
 148      REALM instead of the DOMAIN.
 149    * BUG 13437: Fix building Samba with gcc 8.1.
 150    * BUG 13440: s3:utils: Do not segfault on error in DoDNSUpdate().
 151    * BUG 13480: krb5_plugin: Add winbind localauth plugin for MIT Kerberos.
 152
 153 o  Lukas Slebodnik <lslebodn@fedoraproject.org>
 154    * BUG 13459: ldb: Fix memory leak on module context.
 155
 156
 157 #######################################
 158 Reporting bugs & Development Discussion
 159 #######################################
 160
 161 Please discuss this release on the samba-technical mailing list or by
 162 joining the #samba-technical IRC channel on irc.freenode.net.
 163
 164 If you do report problems then please try to send high quality
 165 feedback. If you don't provide vital information to help us track down
 166 the problem then you will probably be ignored.  All bug reports should
 167 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 168 database (https://bugzilla.samba.org/).
 169
 170
 171 ======================================================================
 172 == Our Code, Our Bugs, Our Responsibility.
 173 == The Samba Team
 174 ======================================================================
 175
 176
 177 ----------------------------------------------------------------------
 178
 179
 180                    =============================
 181                    Release Notes for Samba 4.8.2
 182                             May 16, 2018
 183                    =============================
 184
 185
 186 This is the latest stable release of the Samba 4.8 release series.
 187
 188 Major bug fixes include:
 189 ------------------------
 190
 191    o After update to 4.8.0 DC failed with "Failed to find our own
 192      NTDS Settings objectGUID" (bug #13335).
 193
 194 Changes since 4.8.1:
 195 --------------------
 196
 197 o  Jeremy Allison <jra@samba.org>
 198    * BUG 13380: s3: smbd: Generic fix for incorrect reporting of stream dos
 199      attributes on a directory.
 200    * BUG 13412: ceph: VFS: Add asynchronous fsync to ceph module, fake using
 201      synchronous call.
 202    * BUG 13419: s3: libsmbclient: Fix hard-coded connection error return of
 203      ETIMEDOUT.
 204
 205 o  Andrew Bartlett <abartlet@samba.org>
 206    * BUG 13306: ldb: Release ldb 1.3.3:
 207      * Fix failure to upgrade to the GUID index DB format.
 208      * Add tests for GUID index behaviour.
 209    * BUG 13420: s4-lsa: Fix use-after-free in LSA server.
 210    * BUG 13430: winbindd: Do re-connect if the RPC call fails in the passdb
 211      case.
 212
 213 o  Ralph Boehme <slow@samba.org>
 214    * BUG 13416: s3:cleanupd: Sends MSG_SMB_UNLOCK twice to interested peers.
 215    * BUG 13414: s3:cleanupd: Use MSG_SMB_BRL_VALIDATE to signal cleanupd
 216      unclean process shutdown.
 217
 218 o  David Disseldorp <ddiss@samba.org>
 219    * BUG 13425: vfs_ceph: add fake async pwrite/pread send/recv hooks.
 220
 221 o  Amitay Isaacs <amitay@gmail.com>
 222    * BUG 13411: ctdb-client: Remove ununsed functions from old client code.
 223
 224 o  Björn Jacke <bjacke@samba.org>
 225    * BUG 13395: printing: Return the same error code as windows does on upload
 226      failures.
 227
 228 o  Gary Lockyer <gary@catalyst.net.nz>
 229    * BUG 13335: After update to 4.8.0 DC failed with "Failed to find our own
 230      NTDS Settings objectGUID".
 231
 232 o  Stefan Metzmacher <metze@samba.org>
 233    * BUG 13400: nsswitch: Fix memory leak in winbind_open_pipe_sock() when the
 234      privileged pipe is not accessable.
 235    * BUG 13420: s4:lsa_lookup: remove TALLOC_FREE(state) after all
 236      dcesrv_lsa_Lookup{Names,Sids}_base_map() calls.
 237
 238 o  Vandana Rungta <vrungta@amazon.com>
 239    * BUG 13424: s3: VFS: Fix memory leak in vfs_ceph.
 240
 241 o  Christof Schmitt <cs@samba.org>
 242    * BUG 13407: rpc_server: Fix NetSessEnum with stale sessions.
 243
 244 o  Andreas Schneider <asn@samba.org>
 245    * BUG 13417: s3:smbspool: Fix cmdline argument handling.
 246
 247
 248 #######################################
 249 Reporting bugs & Development Discussion
 250 #######################################
 251
 252 Please discuss this release on the samba-technical mailing list or by
 253 joining the #samba-technical IRC channel on irc.freenode.net.
 254
 255 If you do report problems then please try to send high quality
 256 feedback. If you don't provide vital information to help us track down
 257 the problem then you will probably be ignored.  All bug reports should
 258 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 259 database (https://bugzilla.samba.org/).
 260
 261
 262 ======================================================================
 263 == Our Code, Our Bugs, Our Responsibility.
 264 == The Samba Team
 265 ======================================================================
 266
 267
 268 ----------------------------------------------------------------------
 269
 270
 271                    =============================
 272                    Release Notes for Samba 4.8.1
 273                            April 26, 2018
 274                    =============================
 275
 276
 277 This is the latest stable release of the Samba 4.8 release series.
 278
 279
 280 Changes since 4.8.0:
 281 --------------------
 282
 283 o  Jeremy Allison <jra@samba.org>
 284    * BUG 13244: s3: ldap: Ensure the ADS_STRUCT pointer doesn't get freed on
 285      error, we don't own it here.
 286    * BUG 13270: s3: smbd: Fix possible directory fd leak if the underlying OS
 287      doesn't support fdopendir().
 288    * BUG 13319: Round-tripping ACL get/set through vfs_fruit will increase the
 289      number of ACE entries without limit.
 290    * BUG 13347: s3: smbd: SMB2: Add DBGC_SMB2_CREDITS class to specifically
 291      debug credit issues.
 292    * BUG 13358: s3: smbd: Files or directories can't be opened DELETE_ON_CLOSE
 293      without delete access.
 294    * BUG 13372: s3: smbd: Fix memory leak in vfswrap_getwd().
 295    * BUG 13375: s3: smbd: Unix extensions attempts to change wrong field in
 296      fchown call.
 297
 298 o  Björn Baumbach <bb@sernet.de>
 299    * BUG 13337: ms_schema/samba-tool visualize: Fix python2.6 incompatibility.
 300
 301 o  Timur I. Bakeyev <timur@iXsystems.com>
 302    * BUG 13352: Fix invocation of gnutls_aead_cipher_encrypt().
 303
 304 o  Ralph Boehme <slow@samba.org>
 305    * BUG 13328: Windows 10 cannot logon on Samba NT4 domain.
 306    * BUG 13332: winbindd: Recover loss of netlogon secure channel in case the
 307      peer DC is rebooted.
 308    * BUG 13363: s3:smbd: Don't use the directory cache for SMB2/3.
 309
 310 o  Amitay Isaacs <amitay@gmail.com>
 311    * BUG 13356: ctdb-client: Fix bugs in client code.
 312    * BUG 13359: ctdb-scripts: Drop "net serverid wipe" from 50.samba event
 313      script.
 314
 315 o  Lutz Justen <ljusten@google.com>
 316    * BUG 13368: s3: lib: messages: Don't use the result of sec_init() before
 317      calling sec_init().
 318
 319 o  Volker Lendecke <vl@samba.org>
 320    * BUG 13273: libads: Fix the build '--without-ads'.
 321    * BUG 13332: winbind: Keep "force_reauth" in invalidate_cm_connection,
 322      add 'smbcontrol disconnect-dc'.
 323    * BUG 13343: vfs_virusfilter: Fix CIDs 1428738-1428740.
 324    * BUG 13367: dsdb: Fix CID 1034966 Uninitialized scalar variable.
 325    * BUG 13370: rpc_server: Fix core dump in dfsgetinfo.
 326    * BUG 13382: smbclient: Fix notify.
 327
 328 o  Stefan Metzmacher <metze@samba.org>
 329    * BUG 13215: Fix smbd panic if the client-supplied channel sequence number
 330      wraps.
 331    * BUG 13328: Windows 10 cannot logon on Samba NT4 domain.
 332    * BUG 13342: lib/util: Remove unused '#include <sys/syscall.h>' from
 333      tests/tfork.c.
 334    * BUG 13343: Fix build errors with cc from developerstudio 12.5 on Solaris.
 335    * BUG 13344: Fix the picky-developer build on FreeBSD 11.
 336    * BUG 13345: s3:modules: Fix the build of vfs_aixacl2.c.
 337
 338 o  Anton Nefedov
 339    * BUG 13338: s3:smbd: map nterror on smb2_flush errorpath.
 340
 341 o  Noel Power <noel.power@suse.com>
 342    * BUG 13341: lib:replace: Fix linking when libtirpc-devel overwrites system
 343      headers.
 344
 345 o  Christof Schmitt <cs@samba.org>
 346    * BUG 13312: winbindd: 'wbinfo --name-to-sid' returns misleading result on
 347      invalid query.
 348
 349 o  Andreas Schneider <asn@samba.org>
 350    * BUG 13376: s3:passdb: Do not return OK if we don't have pinfo set up.
 351
 352 o  Eric Vannier <evannier@google.com>
 353    * BUG 13302: Allow AESNI to be used on all processor supporting AESNI.
 354
 355
 356 #######################################
 357 Reporting bugs & Development Discussion
 358 #######################################
 359
 360 Please discuss this release on the samba-technical mailing list or by
 361 joining the #samba-technical IRC channel on irc.freenode.net.
 362
 363 If you do report problems then please try to send high quality
 364 feedback. If you don't provide vital information to help us track down
 365 the problem then you will probably be ignored.  All bug reports should
 366 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 367 database (https://bugzilla.samba.org/).
 368
 369
 370 ======================================================================
 371 == Our Code, Our Bugs, Our Responsibility.
 372 == The Samba Team
 373 ======================================================================
 374
 375
 376 ----------------------------------------------------------------------
 377
 378
 379                    =============================
 380                    Release Notes for Samba 4.8.0
 381                            March 13, 2018
 382                    =============================
 383
 384
 385 This is the first stable release of the Samba 4.8 release series.
 386 Please read the release notes carefully before upgrading.
 387
 388
 389 UPGRADING
 390 =========
 391
 392 New GUID Index mode in sam.ldb for the AD DC
 393 --------------------------------------------
 394
 395 Users who upgrade a Samba AD DC in-place will experience a short delay
 396 in the first startup of Samba while the sam.ldb is re-indexed.
 397
 398 Unlike in previous releases a transparent downgrade is not possible.
 399 If you wish to downgrade such a DB to a Samba 4.7 or earlier version,
 400 please run the source4/scripting/bin/sambaundoguididx script first.
 401
 402 Domain member setups require winbindd
 403 -------------------------------------
 404
 405 Setups with "security = domain" or "security = ads" require a
 406 running 'winbindd' now. The fallback that smbd directly contacts
 407 domain controllers is gone.
 408
 409 smbclient reparse point symlink parameters reversed
 410 ---------------------------------------------------
 411
 412 See the more detailed description below.
 413
 414 Changed trusted domains listing with wbinfo -m --verbose
 415 --------------------------------------------------------
 416
 417 See the more detailed description below.
 418
 419 NEW FEATURES/CHANGES
 420 ====================
 421
 422 New GUID Index mode in sam.ldb for the AD DC
 423 --------------------------------------------
 424
 425 The new layout used for sam.ldb is GUID, rather than DN oriented.
 426 This provides Samba's Active Directory Domain Controller with a faster
 427 database, particularly at larger scale.
 428
 429 The underlying DB is still TDB, simply the choice of key has changed.
 430
 431 The new mode is not optional, so no configuration is required.  Older
 432 Samba versions cannot read the new database (see the upgrade
 433 note above).
 434
 435 KDC GPO application
 436 -------------------
 437
 438 Adds Group Policy support for the Samba kdc. Applies password policies
 439 (minimum/maximum password age, minimum password length, and password
 440 complexity) and kerberos policies (user/service ticket lifetime and
 441 renew lifetime).
 442
 443 Adds the samba_gpoupdate script for applying and unapplying
 444 policy. Can be applied automatically by setting
 445
 446  'apply group policies = yes'.
 447
 448 Time Machine Support with vfs_fruit
 449 -----------------------------------
 450
 451 Samba can be configured as a Time Machine target for Apple Mac devices
 452 through the vfs_fruit module. When enabling a share for Time Machine
 453 support the relevant Avahi records to support discovery will be published
 454 for installations that have been built against the Avahi client library.
 455
 456 Shares can be designated as a Time Machine share with the following setting:
 457
 458   'fruit:time machine = yes'
 459
 460 Support for lower casing the MDNS Name
 461 --------------------------------------
 462
 463 Allows the server name that is advertised through MDNS to be set to the
 464 hostname rather than the Samba NETBIOS name. This allows an administrator
 465 to make Samba registered MDNS records match the case of the hostname
 466 rather than being in all capitals.
 467
 468 This can be set with the following settings:
 469
 470   'mdns name = mdns'
 471
 472 Encrypted secrets
 473 -----------------
 474
 475 Attributes deemed to be sensitive are now encrypted on disk. The sensitive
 476 values are currently:
 477         pekList
 478         msDS-ExecuteScriptPassword
 479         currentValue
 480         dBCSPwd
 481         initialAuthIncoming
 482         initialAuthOutgoing
 483         lmPwdHistory
 484         ntPwdHistory
 485         priorValue
 486         supplementalCredentials
 487         trustAuthIncoming
 488         trustAuthOutgoing
 489         unicodePwd
 490         clearTextPassword
 491
 492 This encryption is enabled by default on a new provision or join, it
 493 can be disabled at provision or join time with the new option
 494 '--plaintext-secrets'.
 495
 496 However, an in-place upgrade will not encrypt the database.
 497
 498 Once encrypted, it is not possible to do an in-place downgrade (eg to
 499 4.7) of the database. To obtain an unencrypted copy of the database a
 500 new DC join should be performed, specifying the '--plaintext-secrets'
 501 option.
 502
 503 The key file "encrypted_secrets.key" is created in the same directory
 504 as the database and should NEVER be disclosed.  It is included by the
 505 samba_backup script.
 506
 507 Active Directory replication visualisation
 508 ------------------------------------------
 509
 510 To work out what is happening in a replication graph, it is sometimes
 511 helpful to use visualisations. We introduce a samba-tool subcommand to
 512 write Graphviz dot output and generate text-based heatmaps of the
 513 distance in hops between DCs.
 514
 515 There are two subcommands, two graphical modes, and (roughly) two modes of
 516 operation with respect to the location of authority.
 517
 518 `samba-tool visualize ntdsconn` looks at NTDS Connections.
 519 `samba-tool visualize reps` looks at repsTo and repsFrom objects.
 520
 521 In '--distance' mode (default), the distances between DCs are shown in
 522 a matrix in the terminal. With '--color=yes', this is depicted as a
 523 heatmap. With '--utf8' it is a lttle prettier.
 524
 525 In '--dot' mode, Graphviz dot output is generated. When viewed using
 526 dot or xdot, this shows the network as a graph with DCs as vertices
 527 and connections edges. Certain types of degenerate edges are shown in
 528 different colours or line-styles.
 529
 530 smbclient reparse point symlink parameters reversed
 531 ---------------------------------------------------
 532
 533 A bug in smbclient caused the 'symlink' command to reverse the
 534 meaning of the new name and link target parameters when creating a
 535 reparse point symlink against a Windows server. As this is a
 536 little used feature the ordering of these parameters has been
 537 reversed to match the parameter ordering of the UNIX extensions
 538 'symlink' command. The usage message for this command has also
 539 been improved to remove confusion.
 540
 541 Winbind changes
 542 ---------------
 543
 544 The dependency to global list of trusted domains within
 545 the winbindd processes has been reduced a lot.
 546
 547 The construction of that global list is not reliable and often
 548 incomplete in complex trust setups. In most situations the list is not needed
 549 any more for winbindd to operate correctly. E.g. for plain file serving via SMB
 550 using a simple idmap setup with autorid, tdb or ad. However some more complex
 551 setups require the list, e.g. if you specify idmap backends for specific
 552 domains. Some pam_winbind setups may also require the global list.
 553
 554 If you have a setup that doesn't require the global list, you should set
 555 "winbind scan trusted domains = no".
 556
 557 Improved support for trusted domains (as AD DC)
 558 -----------------------------------------------
 559
 560 The support for trusted domains/forests has improved a lot.
 561
 562 External domain trusts, as well a transitive forest trusts,
 563 are supported in both directions (inbound and outbound)
 564 for Kerberos and NTLM authentication now.
 565
 566 The LSA LookupNames and LookupSids implementations
 567 support resolving names and sids from trusts domains/forest
 568 now. This is important in order to allow Samba based
 569 domain members to make use of the trust.
 570
 571 However there are currently still a few limitations:
 572
 573 - It's not possible to add users/groups of a trusted domain
 574   into domain groups. So group memberships are not expanded
 575   on trust boundaries.
 576   See https://bugzilla.samba.org/show_bug.cgi?id=13300
 577 - Both sides of the trust need to fully trust each other!
 578 - No SID filtering rules are applied at all!
 579 - This means DCs of domain A can grant domain admin rights
 580   in domain B.
 581 - Selective (CROSS_ORIGANIZATION) authentication is
 582   not supported. It's possible to create such a trust,
 583   but the KDC and winbindd ignore them.
 584
 585 Changed trusted domains listing with wbinfo -m --verbose
 586 --------------------------------------------------------
 587
 588 The trust properties printed by wbinfo -m --verbose have been changed to
 589 correctly reflect the view of the system where wbinfo is executed.
 590
 591 The trust type field in particular can show additional values that correctly
 592 reflect the type of the trust: "Local" for the local SAM and BUILTIN,
 593 "Workstation" for a workstation trust to the primary domain, "RWDC" for the SAM
 594 on a AD DC, "RODC" for the SAM on a read-only DC, "PDC" for the SAM on a
 595 NT4-style DC, "Forest" for a AD forest trust and "External" for quarantined,
 596 external or NT4-style trusts.
 597
 598 Indirect trusts are shown as "Routed" including the routing domain.
 599
 600 Example, on a AD DC (SDOM1):
 601
 602 Domain Name DNS Domain          Trust Type  Transitive  In   Out
 603 BUILTIN                         Local
 604 SDOM1       sdom1.site          RWDC
 605 WDOM3       wdom3.site          Forest      Yes         No   Yes
 606 WDOM2       wdom2.site          Forest      Yes         Yes  Yes
 607 SUBDOM31    subdom31.wdom3.site Routed (via WDOM3)
 608 SUBDOM21    subdom21.wdom2.site Routed (via WDOM2)
 609
 610 Same setup, on a member of WDOM2:
 611
 612 Domain Name DNS Domain          Trust Type  Transitive  In   Out
 613 BUILTIN                         Local
 614 TITAN                           Local
 615 WDOM2       wdom2.site          Workstation Yes         No   Yes
 616 WDOM1       wdom1.site          Routed (via WDOM2)
 617 WDOM3       wdom3.site          Routed (via WDOM2)
 618 SUBDOM21    subdom21.wdom2.site Routed (via WDOM2)
 619 SDOM1       sdom1.site          Routed (via WDOM2)
 620 SUBDOM11    subdom11.wdom1.site Routed (via WDOM2)
 621
 622 The list of trusts may be incomplete and additional domains may appear as
 623 "Routed" if a user of an unknown domain is successfully authenticated.
 624
 625 VirusFilter VFS module
 626 ----------------------
 627
 628 This new module integrates with Sophos, F-Secure and ClamAV anti-virus
 629 software to provide scanning and filtering of files on a Samba share.
 630
 631
 632 Local authorization plugin for MIT Kerberos
 633 -------------------------------------------
 634
 635 This plugin controls the relationship between Kerberos principals and AD
 636 accounts through winbind. The module receives the Kerberos principal and the
 637 local account name as inputs and can then check if they match. This can resolve
 638 issues with canonicalized names returned by Kerberos within AD. If the user
 639 tries to log in as 'alice', but the samAccountName is set to ALICE (uppercase),
 640 Kerberos would return ALICE as the username. Kerberos would not be able to map
 641 'alice' to 'ALICE' in this case and auth would fail.  With this plugin account
 642 names can be correctly mapped. This only applies to GSSAPI authentication,
 643 not for the geting the initial ticket granting ticket.
 644
 645 REMOVED FEATURES
 646 ================
 647
 648 'net serverid' commands removed
 649 -------------------------------
 650
 651 The two commands 'net serverid list' and 'net serverid wipe' have been
 652 removed, because the file serverid.tdb is not used anymore.
 653
 654 'net serverid list' can be replaced by listing all files in the
 655 subdirectory "msg.lock" of Samba's "lock directory". The unique id
 656 listed by 'net serverid list' is stored in every process' lockfile in
 657 "msg.lock".
 658
 659 'net serverid wipe' is not necessary anymore. It was meant primarily
 660 for clustered environments, where the serverid.tdb file was not
 661 properly cleaned up after single node crashes. Nowadays smbd and
 662 winbind take care of cleaning up the msg.lock and msg.sock directories
 663 automatically.
 664
 665 NT4-style replication based net commands removed
 666 ------------------------------------------------
 667
 668 The following commands and sub-commands have been removed from the
 669 "net" utility:
 670
 671 net rpc samdump
 672 net rpc vampire ldif
 673
 674 Also, replicating from a real NT4 domain with "net rpc vampire" and
 675 "net rpc vampire keytab" has been removed.
 676
 677 The NT4-based commands were accidentally broken in 2013, and nobody
 678 noticed the breakage. So instead of fixing them including tests (which
 679 would have meant writing a server for the protocols, which we don't
 680 have) we decided to remove them.
 681
 682 For the same reason, the "samsync", "samdeltas" and "database_redo"
 683 commands have been removed from rpcclient.
 684
 685 "net rpc vampire keytab" from Active Directory domains continues to be
 686 supported.
 687
 688 vfs_aio_linux module removed
 689 ----------------------------
 690
 691 The current Linux kernel aio does not match what Samba would
 692 do. Shipping code that uses it leads people to false
 693 assumptions. Samba implements async I/O based on threads by default,
 694 there is no special module required to see benefits of read and write
 695 request being sent do the disk in parallel.
 696
 697
 698 smb.conf changes
 699 ================
 700
 701   Parameter Name                     Description             Default
 702   --------------                     -----------             -------
 703   apply group policies               New                     no
 704   auth methods                       Removed
 705   binddns dir                        New
 706   client schannel                    Default changed/        yes
 707                                      Deprecated
 708   gpo update command                 New
 709   ldap ssl ads                       Deprecated
 710   map untrusted to domain            Removed
 711   oplock contention limit            Removed
 712   prefork children                   New                     1
 713   mdns name                          New                     netbios
 714   fruit:time machine                 New                     false
 715   profile acls                       Removed
 716   use spnego                         Removed
 717   server schannel                    Default changed/        yes
 718                                      Deprecated
 719   unicode                            Deprecated
 720   winbind scan trusted domains       New                     yes
 721   winbind trusted domains only       Removed
 722
 723
 724 CHANGES SINCE 4.8.0rc4
 725 ======================
 726
 727 o  Jeremy Allison <jra@samba.org>
 728    * BUG 11343: CVE-2018-1050: Codenomicon crashes in spoolss server code.
 729
 730 o  Ralph Boehme <slow@samba.org>
 731    * BUG 13272: CVE-2018-1057: Unprivileged user can change any user (and admin)
 732      password.
 733    * BUG 13313: nsswitch: Fix wbinfo -m --verbose trust type "Local".
 734
 735 o  Stefan Metzmacher <metze@samba.org>
 736    * BUG 13272: CVE-2018-1057: Unprivileged user can change any user (and admin)
 737      password.
 738
 739 o  Dan Robertson <drobertson@tripwire.com>
 740    * BUG 13310: libsmb: Use smb2 tcon if conn_protocol >= SMB2_02.
 741
 742 o  Andreas Schneider <asn@samba.org>
 743    * BUG 13315: s3:smbd: Do not crash if we fail to init the session table.
 744
 745
 746 CHANGES SINCE 4.8.0rc3
 747 ======================
 748
 749 o  Ralph Boehme <slow@samba.org>
 750    * BUG 13287: Fix numerous trust related bugs in winbindd and s4 LSA RPC
 751      server.
 752    * BUG 13296: vfs_fruit: Use off_t, not size_t for TM size calculations.
 753
 754 o  Alexander Bokovoy <ab@samba.org>
 755    * BUG 13304: mit-kdb: Support MIT Kerberos 1.16 KDB API changes.
 756
 757 o  Günther Deschner <gd@samba.org>
 758    * BUG 13277: build: Fix libceph-common detection.
 759
 760 o  Poornima G <pgurusid@redhat.com>
 761    * BUG 13297: vfs_glusterfs: Fix the wrong pointer being sent in
 762      glfs_fsync_async.
 763
 764 o  Volker Lendecke <vl@samba.org>
 765    * BUG 13305: vfs_fileid: Fix the 32-bit build.
 766
 767 o  Stefan Metzmacher <metze@samba.org>
 768    * BUG 13206: Unable to authenticate with an empty string domain ''.
 769    * BUG 13276: configure aborts without libnettle/gnutls.
 770    * BUG 13278: winbindd (on an AD DC) should only use netlogon/lsa against
 771      trusted domains.
 772    * BUG 13287: Fix numerous trust related bugs in winbindd and s4 LSA RPC
 773      server.
 774    * BUG 13290: A disconnecting winbind client can cause a problem in
 775      the winbind parent child communication.
 776    * BUG 13291: tevent: version 0.9.36.
 777    * BUG 13292: winbind requests could get stuck in the queue of a busy child,
 778      while later requests could get served fine by other children.
 779    * BUG 13293: Minimize the lifetime of winbindd_cli_state->{pw,gr}ent_state.
 780    * BUG 13294: Avoid using fstrcpy(domain->dcname,...) on a char *.
 781    * BUG 13295: winbind parent should find the dc of a foreign domain via the
 782      primary domain.
 783    * BUG 13299: Disable support for CROSS_ORGANIZATION domains.
 784    * BUG 13306: ldb: version 1.3.2.
 785
 786 o  Sachin Prabhu <sprabhu@redhat.com>
 787    * BUG 13303: vfs_glusterfs: Add fallocate support for vfs_glusterfs.
 788
 789 o  Garming Sam <garming@catalyst.net.nz>
 790    * BUG 13031: subnet: Avoid a segfault when renaming subnet objects.
 791    * BUG 13269: RODC may skip objects during replication due to naming
 792      conflicts.
 793
 794
 795 CHANGES SINCE 4.8.0rc2
 796 ======================
 797
 798 o  Trever L. Adams <trever.adams@gmail.com>
 799    * BUG 13246: Backport Samba VirusFilter.
 800
 801 o  Ralph Boehme <slow@samba.org>
 802    * BUG 13228: dbcheck: Add support for restoring missing forward links.
 803
 804 o  Günther Deschner <gd@samba.org>
 805    * BUG 13221: python: fix the build with python3.
 806
 807 o  Stefan Metzmacher <metze@samba.org>
 808    * BUG 13228: dbcheck: Add support for restoring missing forward links.
 809
 810
 811 CHANGES SINCE 4.8.0rc1
 812 ======================
 813
 814 o  Günther Deschner <gd@samba.org>
 815    * BUG 13227: packaging: Fix default systemd-dir path.
 816    * BUG 13238: build: Deal with recent glibc sunrpc header removal.
 817
 818 o  Stefan Metzmacher <metze@samba.org>
 819    * BUG 13228: repl_meta_data: fix linked attribute corruption on databases
 820      with unsorted links on expunge.
 821
 822 o  Christof Schmitt <cs@samba.org>
 823    * BUG 13217: s3/smbd: Remove file system sharemode before calling unlink.
 824
 825 o  Andreas Schneider <asn@samba.org>
 826    * BUG 13209: Small improvements in winbindd for the resource cleanup in error
 827      cases.
 828    * BUG 13238: Make Samba work with tirpc and libnsl2.
 829
 830
 831 KNOWN ISSUES
 832 ============
 833
 834 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.8#Release_blocking_bugs
 835
 836
 837 #######################################
 838 Reporting bugs & Development Discussion
 839 #######################################
 840
 841 Please discuss this release on the samba-technical mailing list or by
 842 joining the #samba-technical IRC channel on irc.freenode.net.
 843
 844 If you do report problems then please try to send high quality
 845 feedback. If you don't provide vital information to help us track down
 846 the problem then you will probably be ignored.  All bug reports should
 847 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 848 database (https://bugzilla.samba.org/).
 849
 850
 851 ======================================================================
 852 == Our Code, Our Bugs, Our Responsibility.
 853 == The Samba Team
 854 ======================================================================
 855