WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.19.9
   3                           October 17, 2024
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.19 release series.
   8
   9
  10 Changes since 4.19.8
  11 --------------------
  12
  13 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
  14    * BUG 15590: libldb: performance issue with indexes (ldb 2.8.2 is already
  15      released).
  16
  17 o  Ralph Boehme <slow@samba.org>
  18    * BUG 15624: DH reconnect error handling can lead to stale sharemode entries.
  19
  20 o  David Disseldorp <ddiss@samba.org>
  21    * BUG 15699: Incorrect FSCTL_QUERY_ALLOCATED_RANGES response when truncated.
  22
  23 o  Stefan Metzmacher <metze@samba.org>
  24    * BUG 15280: irpc_destructor may crash during shutdown.
  25    * BUG 15624: DH reconnect error handling can lead to stale sharemode entries.
  26    * BUG 15696: Compound SMB2 requests don't return
  27      NT_STATUS_NETWORK_SESSION_EXPIRED for all requests, confuses
  28      MacOSX clients.
  29
  30 o  Shachar Sharon <ssharon@redhat.com>
  31    * BUG 15700: Crash when readlinkat fails.
  32
  33
  34 #######################################
  35 Reporting bugs & Development Discussion
  36 #######################################
  37
  38 Please discuss this release on the samba-technical mailing list or by
  39 joining the #samba-technical:matrix.org matrix room, or
  40 #samba-technical IRC channel on irc.libera.chat.
  41
  42 If you do report problems then please try to send high quality
  43 feedback. If you don't provide vital information to help us track down
  44 the problem then you will probably be ignored.  All bug reports should
  45 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  46 database (https://bugzilla.samba.org/).
  47
  48
  49 ======================================================================
  50 == Our Code, Our Bugs, Our Responsibility.
  51 == The Samba Team
  52 ======================================================================
  53
  54
  55 Release notes for older releases follow:
  56 ----------------------------------------
  57                    ==============================
  58                    Release Notes for Samba 4.19.8
  59                           August 15, 2024
  60                    ==============================
  61
  62
  63 This is the latest stable release of the Samba 4.19 release series.
  64
  65
  66 Changes since 4.19.7
  67 --------------------
  68
  69 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
  70    * BUG 15671: Invalid client warning about command line passwords.
  71    * BUG 15672: Version string is truncated in manpages.
  72    * BUG 15673: --version-* options are still not ergonomic, and they reject
  73      tilde characters.
  74    * BUG 15674: cmdline_burn does not always burn secrets.
  75    * BUG 15685: Samba doesn't parse SDDL found in defaultSecurityDescriptor in
  76      AD_DS_Classes_Windows_Server_v1903.ldf.
  77
  78 o  Andrew Bartlett <abartlet@samba.org>
  79    * BUG 15654: We have added new options --vendor-name and --vendor-patch-
  80      revision arguments to ./configure to allow distributions and packagers to
  81      put their name in the Samba version string so that when debugging Samba the
  82      source of the binary is obvious.
  83    * BUG 15655: When claims enabled with heimdal kerberos, unable to log on to a
  84      Windows computer when user account need to change their own
  85      password.
  86
  87 o  Ralph Boehme <slow@samba.org>
  88    * BUG 15676: Fix clock skew error message and memory cache clock skew
  89      recovery.
  90
  91 o  Günther Deschner <gd@samba.org>
  92    * BUG 15665: CTDB RADOS mutex helper misses namespace support.
  93
  94 o  Pavel Filipenský <pfilipensky@samba.org>
  95    * BUG 15660: The images don't build after the git security release and CentOS
  96      8 Stream is EOL.
  97
  98 o  Xavi Hernandez <xhernandez@redhat.com>
  99    * BUG 15678: Fix unnecessary delays in CTDB while processing requests under
 100      high load.
 101
 102 o  Stefan Metzmacher <metze@samba.org>
 103    * BUG 13019: Dynamic DNS updates with the internal DNS are not working.
 104    * BUG 15620: s4:nbt_server: does not provide unexpected handling, so winbindd
 105      can't use nmb requests instead cldap.
 106    * BUG 15660: The images don't build after the git security release and CentOS
 107      8 Stream is EOL.
 108    * BUG 15664: Panic in vfs_offload_token_db_fetch_fsp().
 109    * BUG 15666: "client use kerberos" and --use-kerberos is ignored for the
 110      machine account.
 111
 112 o  Noel Power <noel.power@suse.com>
 113    * BUG 15435: Regression DFS not working with widelinks = true.
 114
 115 o  Andreas Schneider <asn@samba.org>
 116    * BUG 15660: The images don't build after the git security release and CentOS
 117      8 Stream is EOL.
 118    * BUG 15673: --version-* options are still not ergonomic, and they reject
 119      tilde characters.
 120
 121 o  Jo Sutton <josutton@catalyst.net.nz>
 122    * BUG 15655: When claims enabled with heimdal kerberos, unable to log on to a
 123      Windows computer when user account need to change their own
 124      password.
 125
 126 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 127    * BUG 15655: When claims enabled with heimdal kerberos, unable to log on to a
 128      Windows computer when user account need to change their own
 129      password.
 130
 131 o  Jones Syue <jonessyue@qnap.com>
 132    * BUG 15677: ntlm_auth make logs more consistent with length check.
 133
 134
 135 #######################################
 136 Reporting bugs & Development Discussion
 137 #######################################
 138
 139 Please discuss this release on the samba-technical mailing list or by
 140 joining the #samba-technical:matrix.org matrix room, or
 141 #samba-technical IRC channel on irc.libera.chat.
 142
 143 If you do report problems then please try to send high quality
 144 feedback. If you don't provide vital information to help us track down
 145 the problem then you will probably be ignored.  All bug reports should
 146 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 147 database (https://bugzilla.samba.org/).
 148
 149
 150 ======================================================================
 151 == Our Code, Our Bugs, Our Responsibility.
 152 == The Samba Team
 153 ======================================================================
 154
 155
 156 ----------------------------------------------------------------------
 157                    ==============================
 158                    Release Notes for Samba 4.19.7
 159                            June 10, 2024
 160                    ==============================
 161
 162
 163 This is the latest stable release of the Samba 4.19 release series.
 164
 165
 166 Changes since 4.19.6
 167 --------------------
 168
 169 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 170    * BUG 15569: ldb qsort might r/w out of bounds with an intransitive compare
 171      function (ldb 2.8.1 is already released).
 172    * BUG 15625: Many qsort() comparison functions are non-transitive, which can
 173      lead to out-of-bounds access in some circumstances (ldb 2.8.1 is already
 174      released).
 175
 176 o  Andrew Bartlett <abartlet@samba.org>
 177    * BUG 15638: Need to change gitlab-ci.yml tags in all branches to avoid CI
 178      bill.
 179
 180 o  Stefan Metzmacher <metze@samba.org>
 181    * BUG 14981: netr_LogonSamLogonEx returns NR_STATUS_ACCESS_DENIED with
 182      SysvolReady=0.
 183    * BUG 15412: Anonymous smb3 signing/encryption should be allowed (similar to
 184      Windows Server 2022).
 185    * BUG 15573: Panic in dreplsrv_op_pull_source_apply_changes_trigger.
 186    * BUG 15642: winbindd, net ads join and other things don't work on an ipv6
 187      only host.
 188
 189 o  Anna Popova <popova.anna235@gmail.com>
 190    * BUG 15636: Smbcacls incorrectly propagates inheritance with Inherit-Only
 191      flag.
 192
 193 o  Noel Power <noel.power@suse.com>
 194    * BUG 15611: http library doesn't support  'chunked transfer encoding'.
 195
 196
 197 #######################################
 198 Reporting bugs & Development Discussion
 199 #######################################
 200
 201 Please discuss this release on the samba-technical mailing list or by
 202 joining the #samba-technical:matrix.org matrix room, or
 203 #samba-technical IRC channel on irc.libera.chat.
 204
 205 If you do report problems then please try to send high quality
 206 feedback. If you don't provide vital information to help us track down
 207 the problem then you will probably be ignored.  All bug reports should
 208 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 209 database (https://bugzilla.samba.org/).
 210
 211
 212 ======================================================================
 213 == Our Code, Our Bugs, Our Responsibility.
 214 == The Samba Team
 215 ======================================================================
 216
 217
 218 ----------------------------------------------------------------------
 219                    ==============================
 220                    Release Notes for Samba 4.19.6
 221                            April 08, 2024
 222                    ==============================
 223
 224
 225 This is the latest stable release of the Samba 4.19 release series.
 226
 227
 228 Changes since 4.19.5
 229 --------------------
 230
 231 o  Ralph Boehme <slow@samba.org>
 232    * BUG 15527: fd_handle_destructor() panics within an smbd_smb2_close() if
 233      vfs_stat_fsp() fails in fd_close().
 234
 235 o  Guenther Deschner <gd@samba.org>
 236    * BUG 15588: samba-gpupdate: Correctly implement site support.
 237
 238 o  Noel Power <noel.power@suse.com>
 239    * BUG 15527: fd_handle_destructor() panics within an smbd_smb2_close() if
 240      vfs_stat_fsp() fails in fd_close().
 241
 242 o  Andreas Schneider <asn@samba.org>
 243    * BUG 15588: samba-gpupdate: Correctly implement site support.
 244    * BUG 15599: libgpo: Segfault in python bindings.
 245
 246 o  Martin Schwenke <mschwenke@ddn.com>
 247    * BUG 15580: Packet marshalling push support missing for
 248      CTDB_CONTROL_TCP_CLIENT_DISCONNECTED and
 249      CTDB_CONTROL_TCP_CLIENT_PASSED.
 250
 251
 252 #######################################
 253 Reporting bugs & Development Discussion
 254 #######################################
 255
 256 Please discuss this release on the samba-technical mailing list or by
 257 joining the #samba-technical:matrix.org matrix room, or
 258 #samba-technical IRC channel on irc.libera.chat.
 259
 260 If you do report problems then please try to send high quality
 261 feedback. If you don't provide vital information to help us track down
 262 the problem then you will probably be ignored.  All bug reports should
 263 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 264 database (https://bugzilla.samba.org/).
 265
 266
 267 ======================================================================
 268 == Our Code, Our Bugs, Our Responsibility.
 269 == The Samba Team
 270 ======================================================================
 271
 272
 273 ----------------------------------------------------------------------
 274                    ==============================
 275                    Release Notes for Samba 4.19.5
 276                          February 19, 2024
 277                    ==============================
 278
 279
 280 This is the latest stable release of the Samba 4.19 release series.
 281
 282
 283 Changes since 4.19.4
 284 --------------------
 285
 286 o  Ralph Boehme <slow@samba.org>
 287    * BUG 13688: Windows 2016 fails to restore previous version of a file from a
 288      shadow_copy2 snapshot.
 289    * BUG 15549: Symlinks on AIX are broken in 4.19 (and a few version before
 290      that).
 291
 292 o  Bjoern Jacke <bj@sernet.de>
 293    * BUG 12421: Fake directory create times has no effect.
 294
 295 o  Björn Jacke <bjacke@samba.org>
 296    * BUG 15550: ctime mixed up with mtime by smbd.
 297
 298 o  David Mulder <dmulder@samba.org>
 299    * BUG 15548: samba-gpupdate --rsop fails if machine is not in a site.
 300
 301 o  Gabriel Nagy <gabriel.nagy@canonical.com>
 302    * BUG 15557: gpupdate: The root cert import when NDES is not available is
 303      broken.
 304
 305 o  Andreas Schneider <asn@samba.org>
 306    * BUG 15552: samba-gpupdate should print a useful message if cepces-submit
 307      can't be found.
 308    * BUG 15558: samba-gpupdate logging doesn't work.
 309
 310 o  Jones Syue <jonessyue@qnap.com>
 311    * BUG 15555: smbpasswd reset permissions only if not 0600.
 312
 313
 314 #######################################
 315 Reporting bugs & Development Discussion
 316 #######################################
 317
 318 Please discuss this release on the samba-technical mailing list or by
 319 joining the #samba-technical:matrix.org matrix room, or
 320 #samba-technical IRC channel on irc.libera.chat.
 321
 322 If you do report problems then please try to send high quality
 323 feedback. If you don't provide vital information to help us track down
 324 the problem then you will probably be ignored.  All bug reports should
 325 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 326 database (https://bugzilla.samba.org/).
 327
 328
 329 ======================================================================
 330 == Our Code, Our Bugs, Our Responsibility.
 331 == The Samba Team
 332 ======================================================================
 333
 334
 335 ----------------------------------------------------------------------
 336                    ==============================
 337                    Release Notes for Samba 4.19.4
 338                           January 08, 2024
 339                    ==============================
 340
 341
 342 This is the latest stable release of the Samba 4.19 release series.
 343
 344
 345 Changes since 4.19.3
 346 --------------------
 347
 348 o  Samuel Cabrero <scabrero@samba.org>
 349    * BUG 13577: net changesecretpw cannot set the machine account password if
 350      secrets.tdb is empty.
 351
 352 o  Björn Jacke <bjacke@samba.org>
 353    * BUG 15540: For generating doc, take, if defined, env XML_CATALOG_FILES.
 354    * BUG 15541: Trivial C typo in nsswitch/winbind_nss_netbsd.c.
 355    * BUG 15542: vfs_linux_xfs is incorrectly named.
 356
 357 o  Björn Jacke <bj@sernet.de>
 358    * BUG 15377: systemd stumbled over copyright-message at smbd startup.
 359
 360 o  Volker Lendecke <vl@samba.org>
 361    * BUG 15505: Following intermediate abolute share-local symlinks is broken.
 362    * BUG 15523: ctdb RELEASE_IP causes a crash in release_ip if a connection to
 363      a non-public address disconnects first.
 364    * BUG 15544: shadow_copy2 broken when current fileset's directories are
 365      removed.
 366
 367 o  Stefan Metzmacher <metze@samba.org>
 368    * BUG 15377: systemd stumbled over copyright-message at smbd startup.
 369    * BUG 15523: ctdb RELEASE_IP causes a crash in release_ip if a connection to
 370      a non-public address disconnects first.
 371    * BUG 15534: smbd does not detect ctdb public ipv6 addresses for multichannel
 372      exclusion.
 373
 374 o  Andreas Schneider <asn@samba.org>
 375    * BUG 15469: 'force user = localunixuser' doesn't work if 'allow trusted
 376      domains = no' is set.
 377    * BUG 15525: smbget debug logging doesn't work.
 378    * BUG 15532: smget: username in the smburl and interactive password entry
 379      doesn't work.
 380    * BUG 15538: smbget auth function doesn't set values for password prompt
 381      correctly.
 382
 383 o  Martin Schwenke <mschwenke@ddn.com>
 384    * BUG 15523: ctdb RELEASE_IP causes a crash in release_ip if a connection to
 385      a non-public address disconnects first.
 386
 387 o  Shachar Sharon <ssharon@redhat.com>
 388    * BUG 15440: Unable to copy and write files from clients to Ceph cluster via
 389      SMB Linux gateway with Ceph VFS module.
 390
 391 o  Jones Syue <jonessyue@qnap.com>
 392    * BUG 15547: Multichannel refresh network information.
 393
 394
 395 #######################################
 396 Reporting bugs & Development Discussion
 397 #######################################
 398
 399 Please discuss this release on the samba-technical mailing list or by
 400 joining the #samba-technical:matrix.org matrix room, or
 401 #samba-technical IRC channel on irc.libera.chat.
 402
 403 If you do report problems then please try to send high quality
 404 feedback. If you don't provide vital information to help us track down
 405 the problem then you will probably be ignored.  All bug reports should
 406 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 407 database (https://bugzilla.samba.org/).
 408
 409
 410 ======================================================================
 411 == Our Code, Our Bugs, Our Responsibility.
 412 == The Samba Team
 413 ======================================================================
 414
 415
 416 ----------------------------------------------------------------------
 417                    ==============================
 418                    Release Notes for Samba 4.19.3
 419                          November 27, 2023
 420                    ==============================
 421
 422
 423 This is the latest stable release of the Samba 4.19 release series.
 424 It contains the security-relevant bugfix CVE-2018-14628:
 425
 426     Wrong ntSecurityDescriptor values for "CN=Deleted Objects"
 427     allow read of object tombstones over LDAP
 428     (Administrator action required!)
 429     https://www.samba.org/samba/security/CVE-2018-14628.html
 430
 431
 432 Description of CVE-2018-14628
 433 -----------------------------
 434
 435 All versions of Samba from 4.0.0 onwards are vulnerable to an
 436 information leak (compared with the established behaviour of
 437 Microsoft's Active Directory) when Samba is an Active Directory Domain
 438 Controller.
 439
 440 When a domain was provisioned with an unpatched Samba version,
 441 the ntSecurityDescriptor is simply inherited from Domain/Partition-HEAD-Object
 442 instead of being very strict (as on a Windows provisioned domain).
 443
 444 This means also non privileged users can use the
 445 LDAP_SERVER_SHOW_DELETED_OID control in order to view,
 446 the names and preserved attributes of deleted objects.
 447
 448 No information that was hidden before the deletion is visible, but in
 449 with the correct ntSecurityDescriptor value in place the whole object
 450 is also not visible without administrative rights.
 451
 452 There is no further vulnerability associated with this error, merely an
 453 information disclosure.
 454
 455 Action required in order to resolve CVE-2018-14628!
 456 ---------------------------------------------------
 457
 458 The patched Samba does NOT protect existing domains!
 459
 460 The administrator needs to run the following command
 461 (on only one domain controller)
 462 in order to apply the protection to an existing domain:
 463
 464   samba-tool dbcheck --cross-ncs --attrs=nTSecurityDescriptor --fix
 465
 466 The above requires manual interaction in order to review the
 467 changes before they are applied. Typicall question look like this:
 468
 469   Reset nTSecurityDescriptor on CN=Deleted Objects,DC=samba,DC=org back to provision default?
 470         Owner mismatch: SY (in ref) DA(in current)
 471         Group mismatch: SY (in ref) DA(in current)
 472         Part dacl is different between reference and current here is the detail:
 473                 (A;;LCRPLORC;;;AU) ACE is not present in the reference
 474                 (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY) ACE is not present in the reference
 475                 (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;DA) ACE is not present in the reference
 476                 (A;;CCDCLCSWRPWPSDRCWDWO;;;SY) ACE is not present in the current
 477                 (A;;LCRP;;;BA) ACE is not present in the current
 478    [y/N/all/none] y
 479   Fixed attribute 'nTSecurityDescriptor' of 'CN=Deleted Objects,DC=samba,DC=org'
 480
 481 The change should be confirmed with 'y' for all objects starting with
 482 'CN=Deleted Objects'.
 483
 484
 485 Changes since 4.19.2
 486 --------------------
 487
 488 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 489    * BUG 15520: sid_strings test broken by unix epoch > 1700000000.
 490
 491 o  Ralph Boehme <slow@samba.org>
 492    * BUG 15487: smbd crashes if asked to return full information on close of a
 493      stream handle with delete on close disposition set.
 494    * BUG 15521: smbd: fix close order of base_fsp and stream_fsp in
 495      smb_fname_fsp_destructor().
 496
 497 o  Pavel Filipenský <pfilipensky@samba.org>
 498    * BUG 15499: Improve logging for failover scenarios.
 499
 500 o  Björn Jacke <bj@sernet.de>
 501    * BUG 15093: Files without "read attributes" NFS4 ACL permission are not
 502      listed in directories.
 503
 504 o  Stefan Metzmacher <metze@samba.org>
 505    * BUG 13595: CVE-2018-14628 [SECURITY] Deleted Object tombstones visible in
 506      AD LDAP to normal users.
 507    * BUG 15492: Kerberos TGS-REQ with User2User does not work for normal
 508      accounts.
 509
 510 o  Christof Schmitt <cs@samba.org>
 511    * BUG 15507: vfs_gpfs stat calls fail due to file system permissions.
 512
 513 o  Andreas Schneider <asn@samba.org>
 514    * BUG 15513: Samba doesn't build with Python 3.12.
 515
 516
 517 #######################################
 518 Reporting bugs & Development Discussion
 519 #######################################
 520
 521 Please discuss this release on the samba-technical mailing list or by
 522 joining the #samba-technical:matrix.org matrix room, or
 523 #samba-technical IRC channel on irc.libera.chat.
 524
 525 If you do report problems then please try to send high quality
 526 feedback. If you don't provide vital information to help us track down
 527 the problem then you will probably be ignored.  All bug reports should
 528 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 529 database (https://bugzilla.samba.org/).
 530
 531
 532 ======================================================================
 533 == Our Code, Our Bugs, Our Responsibility.
 534 == The Samba Team
 535 ======================================================================
 536
 537
 538 ----------------------------------------------------------------------
 539                    ==============================
 540                    Release Notes for Samba 4.19.2
 541                           October 16, 2023
 542                    ==============================
 543
 544
 545 This is the latest stable release of the Samba 4.19 release series.
 546
 547
 548 Changes since 4.19.1
 549 --------------------
 550
 551 o  Jeremy Allison <jra@samba.org>
 552    * BUG 15423: Use-after-free in aio_del_req_from_fsp during smbd shutdown
 553      after failed IPC FSCTL_PIPE_TRANSCEIVE.
 554    * BUG 15426: clidfs.c do_connect() missing a "return" after a cli_shutdown()
 555      call.
 556
 557 o  Ralph Boehme <slow@samba.org>
 558    * BUG 15463: macOS mdfind returns only 50 results.
 559
 560 o  Volker Lendecke <vl@samba.org>
 561    * BUG 15481: GETREALFILENAME_CACHE can modify incoming new filename with
 562      previous cache entry value.
 563
 564 o  Stefan Metzmacher <metze@samba.org>
 565    * BUG 15464: libnss_winbind causes memory corruption since samba-4.18,
 566      impacts sendmail, zabbix, potentially more.
 567
 568 o  Martin Schwenke <mschwenke@ddn.com>
 569    * BUG 15479: ctdbd: setproctitle not initialized messages flooding logs.
 570
 571 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 572    * BUG 15491: CVE-2023-5568 Heap buffer overflow with freshness tokens in the
 573      Heimdal KDC in Samba 4.19
 574    * BUG 15477: The heimdal KDC doesn't detect s4u2self correctly when fast is
 575      in use.
 576
 577
 578 #######################################
 579 Reporting bugs & Development Discussion
 580 #######################################
 581
 582 Please discuss this release on the samba-technical mailing list or by
 583 joining the #samba-technical:matrix.org matrix room, or
 584 #samba-technical IRC channel on irc.libera.chat.
 585
 586 If you do report problems then please try to send high quality
 587 feedback. If you don't provide vital information to help us track down
 588 the problem then you will probably be ignored.  All bug reports should
 589 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 590 database (https://bugzilla.samba.org/).
 591
 592
 593 ======================================================================
 594 == Our Code, Our Bugs, Our Responsibility.
 595 == The Samba Team
 596 ======================================================================
 597
 598
 599 ----------------------------------------------------------------------
 600                    ==============================
 601                    Release Notes for Samba 4.19.1
 602                           October 10, 2023
 603                    ==============================
 604
 605
 606 This is a security release in order to address the following defects:
 607
 608
 609 o CVE-2023-3961:  Unsanitized pipe names allow SMB clients to connect as root to
 610                   existing unix domain sockets on the file system.
 611                   https://www.samba.org/samba/security/CVE-2023-3961.html
 612
 613 o CVE-2023-4091:  SMB client can truncate files to 0 bytes by opening files with
 614                   OVERWRITE disposition when using the acl_xattr Samba VFS
 615                   module with the smb.conf setting
 616                   "acl_xattr:ignore system acls = yes"
 617                   https://www.samba.org/samba/security/CVE-2023-4091.html
 618
 619 o CVE-2023-4154:  An RODC and a user with the GET_CHANGES right can view all
 620                   attributes, including secrets and passwords.  Additionally,
 621                   the access check fails open on error conditions.
 622                   https://www.samba.org/samba/security/CVE-2023-4154.html
 623
 624 o CVE-2023-42669: Calls to the rpcecho server on the AD DC can request that the
 625                   server block for a user-defined amount of time, denying
 626                   service.
 627                   https://www.samba.org/samba/security/CVE-2023-42669.html
 628
 629 o CVE-2023-42670: Samba can be made to start multiple incompatible RPC
 630                   listeners, disrupting service on the AD DC.
 631                   https://www.samba.org/samba/security/CVE-2023-42670.html
 632
 633
 634 Changes since 4.19.0
 635 --------------------
 636
 637 o  Jeremy Allison <jra@samba.org>
 638    * BUG 15422: CVE-2023-3961.
 639
 640 o  Andrew Bartlett <abartlet@samba.org>
 641    * BUG 15424: CVE-2023-4154.
 642    * BUG 15473: CVE-2023-42670.
 643    * BUG 15474: CVE-2023-42669.
 644
 645 o  Ralph Boehme <slow@samba.org>
 646    * BUG 15439: CVE-2023-4091.
 647
 648
 649 #######################################
 650 Reporting bugs & Development Discussion
 651 #######################################
 652
 653 Please discuss this release on the samba-technical mailing list or by
 654 joining the #samba-technical:matrix.org matrix room, or
 655 #samba-technical IRC channel on irc.libera.chat.
 656
 657 If you do report problems then please try to send high quality
 658 feedback. If you don't provide vital information to help us track down
 659 the problem then you will probably be ignored.  All bug reports should
 660 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 661 database (https://bugzilla.samba.org/).
 662
 663
 664 ======================================================================
 665 == Our Code, Our Bugs, Our Responsibility.
 666 == The Samba Team
 667 ======================================================================
 668
 669
 670 ----------------------------------------------------------------------
 671                    ==============================
 672                    Release Notes for Samba 4.19.0
 673                          September 04, 2023
 674                    ==============================
 675
 676 This is the first stable release of the Samba 4.19 release series.
 677 Please read the release notes carefully before upgrading.
 678
 679 NEW FEATURES/CHANGES
 680 ====================
 681
 682 Migrated smbget to use common command line parser
 683 -------------------------------------------------
 684
 685 The smbget utility implemented its own command line parsing logic. After
 686 discovering an issue we decided to migrate it to use the common command line
 687 parser. This has some advantages as you get all the feature it provides like
 688 Kerberos authentication. The downside is that breaks the options interface.
 689 The support for smbgetrc has been removed. You can use an authentication file
 690 if needed, this is documented in the manpage.
 691
 692 Please check the smbget manpage or --help output.
 693
 694 gpupdate changes
 695 ----------------
 696
 697 The libgpo.get_gpo_list function has been deprecated in favor of
 698 an implementation written in python. The new function can be imported via
 699 `import samba.gp`. The python implementation connects to Active Directory
 700 using the SamDB module, instead of ADS (which is what libgpo uses).
 701
 702 Improved winbind logging and a new tool for parsing the winbind logs
 703 --------------------------------------------------------------------
 704
 705 Winbind logs (if smb.conf 'winbind debug traceid = yes' is set) contain new
 706 trace header fields 'traceid' and 'depth'.  Field 'traceid' allows to track the
 707 trace records belonging to the same request.  Field 'depth' allows to track the
 708 request nesting level. A new tool samba-log-parser is added for better log
 709 parsing.
 710
 711 AD database prepared to FL 2016 standards for new domains
 712 ---------------------------------------------------------
 713
 714 While Samba still provides only Functional Level 2008R2 by default,
 715 Samba as an AD DC will now, in provision ensure that the blank
 716 database is already prepared for Functional Level 2016, with AD Schema
 717 2019.
 718
 719 This preparation is of the default objects in the database, adding
 720 containers for Authentication Policies, Authentication Silos and AD
 721 claims in particular.  These DB objects must be updated to allow
 722 operation of the new features found in higher functional levels.
 723
 724 Kerberos Claims, Authentication Silos and NTLM authentication policies
 725 ----------------------------------------------------------------------
 726
 727 An initial, partial implementation of Active Directory Functional
 728 Level 2012, 2012R2 and 2016 is available in this release.
 729
 730 In particular Samba will issue Active Directory "Claims" in the PAC,
 731 for member servers that support these, and honour in-directory
 732 configuration for Authentication Policies and Authentication Silos.
 733
 734 The primary limitation is that while Samba can read and write claims
 735 in the directory, and populate the PAC, Samba does not yet use them
 736 for access control decisions.
 737
 738 While we continue to develop these features, existing domains can
 739 test the feature by selecting the functional level in provision or
 740 raising the DC functional level by setting
 741
 742  ad dc functional level = 2016
 743
 744 in the smb.conf
 745
 746 The smb.conf file on each DC must have 'ad dc functional level = 2016'
 747 set to have the partially complete feature available.  This will also,
 748 at first startup, update the server's own AD entry with the configured
 749 functional level.
 750
 751 For new domains, add these parameters to 'samba-tool provision'
 752
 753 --option="ad dc functional level = 2016" --function-level=2016
 754
 755 The second option, setting the overall domain functional level
 756 indicates that all DCs should be at this functional level.
 757
 758 To raise the domain functional level of an existing domain, after
 759 updating the smb.conf and restarting Samba run
 760 samba-tool domain schemaupgrade --schema=2019
 761 samba-tool domain functionalprep --function-level=2016
 762 samba-tool domain level raise --domain-level=2016 --forest-level=2016
 763
 764 Improved KDC Auditing
 765 ---------------------
 766
 767 As part of the auditing required to allow successful deployment of
 768 Authentication Policies and Authentication Silos, our KDC now provides
 769 Samba-style JSON audit logging of all issued Kerberos tickets,
 770 including if they would fail a policy that is not yet enforced.
 771 Additionally most failures are audited, (after the initial
 772 pre-validation of the request).
 773
 774 Kerberos Armoring (FAST) Support for Windows clients
 775 ----------------------------------------------------
 776
 777 In domains where the domain controller functional level is set, as
 778 above, to 2012, 2012_R2 or 2016, Windows clients will, if configured
 779 via GPO, use FAST to protect user passwords between (in particular) a
 780 workstation and the KDC on the AD DC.  This is a significant security
 781 improvement, as weak passwords in an AS-REQ are no longer available
 782 for offline attack.
 783
 784 Claims compression in the AD PAC
 785 --------------------------------
 786
 787 Samba as an AD DC will compress "AD claims" using the same compression
 788 algorithm as Microsoft Windows.
 789
 790 Resource SID compression in the AD PAC
 791 --------------------------------------
 792
 793 Samba as an AD DC will now correctly populate the various PAC group
 794 membership buffers, splitting global and local groups correctly.
 795
 796 Additionally, Samba marshals Resource SIDs, being local groups in the
 797 member server's own domain, to only consume a header and 4 bytes per
 798 group in the PAC, not a full-length SID worth of space each.  This is
 799 known as "Resource SID compression".
 800
 801 Resource Based Constrained Delegation (RBCD) support in both MIT and Heimdal
 802 -----------------------------------------------------------------------------
 803
 804 Samba AD DC built with MIT Kerberos (1.20 and later) has offered RBCD
 805 support since Samba 4.17.  Samba 4.19 brings this feature to the
 806 default Heimdal KDC.
 807
 808 Samba 4.17 added to samba-tool delegation the 'add-principal' and
 809 'del-principal' subcommands in order to manage RBCD, and the database
 810 changes made by these tools are now honoured by the Heimdal KDC once
 811 Samba is upgraded.
 812
 813 Likewise, now both MIT (1.20 and later) and Heimdal KDCs add the
 814 Asserted Identity [1] SID into the PAC for constrained delegation.
 815
 816 [1] https://docs.microsoft.com/en-us/windows-server/security/kerberos/kerberos-constrained-delegation-overview
 817
 818 New samba-tool support for silos, claims, sites and subnets.
 819 ------------------------------------------------------------
 820
 821 samba-tool can now list, show, add and manipulate Authentication Silos
 822 (silos) and Active Directory Authentication Claims (claims).
 823
 824 samba-tool can now list and show Active Directory sites and subnets.
 825
 826 A new Object Relational Model (ORM) based architecture, similar to
 827 that used with Django, has been built to make adding new samba-tool
 828 subcommands simpler and more consistent, with JSON output available
 829 standard on these new commands.
 830
 831 Updated GnuTLS requirement / in-tree cryptography removal
 832 ----------------------------------------------------------
 833
 834 Samba requires GnuTLS 3.6.13 and prefers GnuTLS 3.6.14 or later.
 835
 836 This has allowed Samba to remove all of our in-tree cryptography,
 837 except that found in our Heimdal import.  Samba's runtime cryptography
 838 needs are now all provided by GnuTLS.
 839
 840 (The GnuTLS vesion requirement is raised to 3.7.2 on systems without
 841 the Linux getrandom())
 842
 843 We also use Python's cryptography module for our testing.
 844
 845 The use of well known cryptography libraries makes Samba easier for
 846 end-users to validate and deploy, and for distributors to ship.  This
 847 is the end of a very long journey for Samba.
 848
 849 Updated Heimdal import
 850 ----------------------
 851
 852 Samba's Heimdal branch (known as lorikeet-heimdal) has been updated to
 853 the current pre-8.0 (master) tree from upstream Heimdal, ensuring that
 854 this vendored copy, included in our release remains as close as
 855 possible to the current upstream code.
 856
 857 Revocation support in Heimdal KDC for PKINIT certificates
 858 ---------------------------------------------------------
 859
 860 Samba will now correctly honour the revocation of 'smart card'
 861 certificates used for PKINIT Kerberos authentication.
 862
 863 This list is reloaded each time the file changes, so no further action
 864 other than replacing the file is required.  The additional krb5.conf
 865 option is:
 866
 867  [kdc]
 868         pkinit_revoke = FILE:/path/to/crl.pem
 869
 870 Information on the "Smart Card login" feature as a whole is at:
 871  https://wiki.samba.org/index.php/Samba_AD_Smart_Card_Login
 872
 873 Protocol level testsuite for (Smart Card Logon) PKINIT
 874 ------------------------------------------------------
 875
 876 Previously Samba's PKINIT support in the KDC was tested by use of
 877 shell scripts around the client tools of MIT or Heimdal Kerberos.
 878 Samba's independently written python testsuite has been extended to
 879 validate KDC behaviour for PKINIT.
 880
 881 Require encrypted connection to modify unicodePwd on the AD DC
 882 --------------------------------------------------------------
 883
 884 Setting the password on an AD account on should never be attempted
 885 over a plaintext or signed-only LDAP connection.  If the unicodePwd
 886 (or userPassword) attribute is modified without encryption (as seen by
 887 Samba), the request will be rejected.  This is to encourage the
 888 administrator to use an encrypted connection in the future.
 889
 890 NOTE WELL: If Samba is accessed via a TLS frontend or load balancer,
 891 the LDAP request will be regarded as plaintext.
 892
 893 Samba AD TLS Certificates can be reloaded
 894 -----------------------------------------
 895
 896 The TLS certificates used for Samba's AD DC LDAP server were
 897 previously only read on startup, and this meant that when then expired
 898 it was required to restart Samba, disrupting service to other users.
 899
 900  smbcontrol ldap_server reload-certs
 901
 902 This will now allow these certificates to be reloaded 'on the fly'
 903
 904 ================
 905 REMOVED FEATURES
 906 ================
 907
 908
 909 smb.conf changes
 910 ================
 911
 912   Parameter Name                          Description     Default
 913   --------------                          -----------     -------
 914   winbind debug traceid                   Add traceid     No
 915   directory name cache size               Removed
 916
 917
 918 CHANGES SINCE 4.19.0rc4
 919 =======================
 920
 921 o  MikeLiu <mikeliu@qnap.com>
 922    * BUG 15453: File doesn't show when user doesn't have permission if
 923      aio_pthread is loaded.
 924
 925 o  Martin Schwenke <mschwenke@ddn.com>
 926    * BUG 15451: ctdb_killtcp fails to work with --enable-pcap and libpcap ≥
 927      1.9.1.
 928
 929
 930 CHANGES SINCE 4.19.0rc3
 931 =======================
 932
 933 o  Martin Schwenke <mschwenke@ddn.com>
 934    * BUG 15460: Logging to stdout/stderr with DEBUG_SYSLOG_FORMAT_ALWAYS can log
 935      to syslog.
 936
 937 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 938    * BUG 15458: ‘samba-tool domain level raise’ fails unless given a URL.
 939
 940
 941 CHANGES SINCE 4.19.0rc2
 942 =======================
 943
 944 o  Jeremy Allison <jra@samba.org>
 945    * BUG 15420: reply_sesssetup_and_X() can dereference uninitialized tmp
 946      pointer.
 947    * BUG 15430: missing return in reply_exit_done().
 948    * BUG 15432: TREE_CONNECT without SETUP causes smbd to use uninitialized
 949      pointer.
 950
 951 o  Andrew Bartlett <abartlet@samba.org>
 952    * BUG 15401: Avoid infinite loop in initial user sync with Azure AD Connect
 953      when synchronising a large Samba AD domain.
 954    * BUG 15407: Samba replication logs show (null) DN.
 955
 956 o  Stefan Metzmacher <metze@samba.org>
 957    * BUG 15346: 2-3min delays at reconnect with smb2_validate_sequence_number:
 958      bad message_id 2.
 959    * BUG 15446: DCERPC_PKT_CO_CANCEL and DCERPC_PKT_ORPHANED can't be parsed.
 960
 961 o  Martin Schwenke <mschwenke@ddn.com>
 962    * BUG 15438: CID 1539212 causes real issue when output contains only
 963      newlines.
 964
 965 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 966    * BUG 15452: KDC encodes INT64 claims incorrectly.
 967
 968 o  Jones Syue <jonessyue@qnap.com>
 969    * BUG 15449: mdssvc: Do an early talloc_free() in _mdssvc_open().
 970
 971
 972 CHANGES SINCE 4.19.0rc1
 973 =======================
 974
 975 o  Andrew Bartlett <abartlet@samba.org>
 976    * BUG 9959: Windows client join fails if a second container CN=System exists
 977     somewhere.
 978
 979 o  Noel Power <noel.power@suse.com>
 980    * BUG 15435: regression DFS not working with widelinks = true.
 981
 982 o  Arvid Requate <requate@univention.de>
 983    * BUG 9959: Windows client join fails if a second container CN=System exists
 984     somewhere.
 985
 986 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 987    * BUG 15443: Heimdal fails to build on 32-bit FreeBSD.
 988
 989 o  Jones Syue <jonessyue@qnap.com>
 990    * BUG 15441: samba-tool ntacl get segfault if aio_pthread appended.
 991
 992
 993 KNOWN ISSUES
 994 ============
 995
 996 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.19#Release_blocking_bugs
 997
 998
 999 #######################################
1000 Reporting bugs & Development Discussion
1001 #######################################
1002
1003 Please discuss this release on the samba-technical mailing list or by
1004 joining the #samba-technical:matrix.org matrix room, or
1005 #samba-technical IRC channel on irc.libera.chat
1006
1007 If you do report problems then please try to send high quality
1008 feedback. If you don't provide vital information to help us track down
1009 the problem then you will probably be ignored.  All bug reports should
1010 be filed under the Samba 4.1 and newer product in the project's Bugzilla
1011 database (https://bugzilla.samba.org/).
1012
1013
1014 ======================================================================
1015 == Our Code, Our Bugs, Our Responsibility.
1016 == The Samba Team
1017 ======================================================================
1018