WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.16.9
   3                          February 16, 2023
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.16 release series.
   8
   9
  10 Changes since 4.16.8
  11 --------------------
  12
  13 o  Jeremy Allison <jra@samba.org>
  14    * BUG 14808: smbc_getxattr() return value is incorrect.
  15    * BUG 15172: Compound SMB2 FLUSH+CLOSE requests from MacOSX are not handled
  16      correctly.
  17    * BUG 15210: synthetic_pathref AFP_AfpInfo failed errors.
  18    * BUG 15226: samba-tool gpo listall fails IPv6 only - finddcs() fails to find
  19      DC when there is only an AAAA record for the DC in DNS.
  20    * BUG 15236: smbd crashes if an FSCTL request is done on a stream handle.
  21
  22 o  Ralph Boehme <slow@samba.org>
  23    * BUG 15299: Spotlight doesn't work with latest macOS Ventura.
  24
  25 o  Samuel Cabrero <scabrero@suse.de>
  26    * BUG 15240: CVE-2022-38023 [SECURITY] Samba should refuse RC4 (aka md5)
  27      based SChannel on NETLOGON.
  28
  29 o  Volker Lendecke <vl@samba.org>
  30    * BUG 15243: %U for include directive doesn't work for share listing
  31      (netshareenum).
  32    * BUG 15266: Shares missing from netshareenum response in samba 4.17.4.
  33    * BUG 15269: ctdb: use-after-free in run_proc.
  34
  35 o  Stefan Metzmacher <metze@samba.org>
  36    * BUG 15243: %U for include directive doesn't work for share listing
  37      (netshareenum).
  38    * BUG 15266: Shares missing from netshareenum response in samba 4.17.4.
  39    * BUG 15280: irpc_destructor may crash during shutdown.
  40    * BUG 15286: auth3_generate_session_info_pac leaks wbcAuthUserInfo.
  41
  42 o  Andreas Schneider <asn@samba.org>
  43    * BUG 15268: smbclient segfaults with use after free on an optimized build.
  44
  45 o  Andrew Walker <awalker@ixsystems.com>
  46    * BUG 15164: Leak in wbcCtxPingDc2.
  47    * BUG 15265: Access based share enum does not work in Samba 4.16+.
  48    * BUG 15267: Crash during share enumeration.
  49    * BUG 15271: rep_listxattr on FreeBSD does not properly check for reads off
  50      end of returned buffer.
  51
  52
  53 #######################################
  54 Reporting bugs & Development Discussion
  55 #######################################
  56
  57 Please discuss this release on the samba-technical mailing list or by
  58 joining the #samba-technical:matrix.org matrix room, or
  59 #samba-technical IRC channel on irc.libera.chat.
  60
  61
  62 If you do report problems then please try to send high quality
  63 feedback. If you don't provide vital information to help us track down
  64 the problem then you will probably be ignored.  All bug reports should
  65 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  66 database (https://bugzilla.samba.org/).
  67
  68
  69 ======================================================================
  70 == Our Code, Our Bugs, Our Responsibility.
  71 == The Samba Team
  72 ======================================================================
  73
  74
  75 Release notes for older releases follow:
  76 ----------------------------------------
  77                    ==============================
  78                    Release Notes for Samba 4.16.8
  79                          December 15, 2022
  80                    ==============================
  81
  82
  83 This is the latest stable release of the Samba 4.16 release series.
  84 It also contains security changes in order to address the following defects
  85
  86 o CVE-2022-37966: This is the Samba CVE for the Windows Kerberos
  87                   RC4-HMAC Elevation of Privilege Vulnerability
  88                   disclosed by Microsoft on Nov 8 2022.
  89
  90                   A Samba Active Directory DC will issue weak rc4-hmac
  91                   session keys for use between modern clients and servers
  92                   despite all modern Kerberos implementations supporting
  93                   the aes256-cts-hmac-sha1-96 cipher.
  94
  95                   On Samba Active Directory DCs and members
  96                   'kerberos encryption types = legacy' would force
  97                   rc4-hmac as a client even if the server supports
  98                   aes128-cts-hmac-sha1-96 and/or aes256-cts-hmac-sha1-96.
  99
 100                   https://www.samba.org/samba/security/CVE-2022-37966.html
 101
 102 o CVE-2022-37967: This is the Samba CVE for the Windows
 103                   Kerberos Elevation of Privilege Vulnerability
 104                   disclosed by Microsoft on Nov 8 2022.
 105
 106                   A service account with the special constrained
 107                   delegation permission could forge a more powerful
 108                   ticket than the one it was presented with.
 109
 110                   https://www.samba.org/samba/security/CVE-2022-37967.html
 111
 112 o CVE-2022-38023: The "RC4" protection of the NetLogon Secure channel uses the
 113                   same algorithms as rc4-hmac cryptography in Kerberos,
 114                   and so must also be assumed to be weak.
 115
 116                   https://www.samba.org/samba/security/CVE-2022-38023.html
 117
 118 Note that there are several important behavior changes
 119 included in this release, which may cause compatibility problems
 120 interacting with system still expecting the former behavior.
 121 Please read the advisories of CVE-2022-37966,
 122 CVE-2022-37967 and CVE-2022-38023 carefully!
 123
 124 samba-tool got a new 'domain trust modify' subcommand
 125 -----------------------------------------------------
 126
 127 This allows "msDS-SupportedEncryptionTypes" to be changed
 128 on trustedDomain objects. Even against remote DCs (including Windows)
 129 using the --local-dc-ipaddress= (and other --local-dc-* options).
 130 See 'samba-tool domain trust modify --help' for further details.
 131
 132 smb.conf changes
 133 ----------------
 134
 135   Parameter Name                               Description             Default
 136   --------------                               -----------             -------
 137   allow nt4 crypto                             Deprecated              no
 138   allow nt4 crypto:COMPUTERACCOUNT             New
 139   kdc default domain supported enctypes        New (see manpage)
 140   kdc supported enctypes                       New (see manpage)
 141   kdc force enable rc4 weak session keys       New                     No
 142   reject md5 clients                           New Default, Deprecated Yes
 143   reject md5 servers                           New Default, Deprecated Yes
 144   server schannel                              Deprecated              Yes
 145   server schannel require seal                 New, Deprecated         Yes
 146   server schannel require seal:COMPUTERACCOUNT New
 147   winbind sealed pipes                         Deprecated              Yes
 148
 149 Changes since 4.16.7
 150 --------------------
 151
 152 o  Jeremy Allison <jra@samba.org>
 153    * BUG 15224: pam_winbind uses time_t and pointers assuming they are of the
 154      same size.
 155
 156 o  Andrew Bartlett <abartlet@samba.org>
 157    * BUG 14929: CVE-2022-44640 [SECURITY] Upstream Heimdal free of
 158      user-controlled pointer in FAST.
 159    * BUG 15219: Heimdal session key selection in AS-REQ examines wrong entry.
 160    * BUG 15237: CVE-2022-37966.
 161    * BUG 15258: filter-subunit is inefficient with large numbers of knownfails.
 162
 163 o  Ralph Boehme <slow@samba.org>
 164    * BUG 15240: CVE-2022-38023.
 165    * BUG 15252: smbd allows setting FILE_ATTRIBUTE_TEMPORARY on directories.
 166
 167 o  Stefan Metzmacher <metze@samba.org>
 168    * BUG 13135: The KDC logic arround msDs-supportedEncryptionTypes differs from
 169      Windows.
 170    * BUG 14611: CVE-2021-20251 [SECURITY] Bad password count not incremented
 171      atomically.
 172    * BUG 15203: CVE-2022-42898  [SECURITY] krb5_pac_parse() buffer parsing
 173      vulnerability.
 174    * BUG 15219: Heimdal session key selection in AS-REQ examines wrong entry.
 175    * BUG 15230: Memory leak in snprintf replacement functions.
 176    * BUG 15237: CVE-2022-37966.
 177    * BUG 15240: CVE-2022-38023.
 178    * BUG 15253: RODC doesn't reset badPwdCount reliable via an RWDC
 179      (CVE-2021-20251 regression).
 180
 181 o  Noel Power <noel.power@suse.com>
 182    * BUG 15224: pam_winbind uses time_t and pointers assuming they are of the
 183      same size.
 184
 185 o  Andreas Schneider <asn@samba.org>
 186    * BUG 15237: CVE-2022-37966.
 187    * BUG 15243: %U for include directive doesn't work for share listing
 188      (netshareenum).
 189    * BUG 15257: Stack smashing in net offlinejoin requestodj.
 190
 191 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 192    * BUG 15197: Windows 11 22H2 and Samba-AD 4.15 Kerberos login issue.
 193    * BUG 15219: Heimdal session key selection in AS-REQ examines wrong entry.
 194    * BUG 15231: CVE-2022-37967.
 195    * BUG 15237: CVE-2022-37966.
 196
 197 o  Nicolas Williams <nico@twosigma.com>
 198    * BUG 14929: CVE-2022-44640 [SECURITY] Upstream Heimdal free of
 199      user-controlled pointer in FAST.
 200
 201
 202 #######################################
 203 Reporting bugs & Development Discussion
 204 #######################################
 205
 206 Please discuss this release on the samba-technical mailing list or by
 207 joining the #samba-technical:matrix.org matrix room, or
 208 #samba-technical IRC channel on irc.libera.chat.
 209
 210
 211 If you do report problems then please try to send high quality
 212 feedback. If you don't provide vital information to help us track down
 213 the problem then you will probably be ignored.  All bug reports should
 214 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 215 database (https://bugzilla.samba.org/).
 216
 217
 218 ======================================================================
 219 == Our Code, Our Bugs, Our Responsibility.
 220 == The Samba Team
 221 ======================================================================
 222
 223
 224 ----------------------------------------------------------------------
 225                    ==============================
 226                    Release Notes for Samba 4.16.7
 227                          November 15, 2022
 228                    ==============================
 229
 230
 231 This is a security release in order to address the following defects:
 232
 233 o CVE-2022-42898: Samba's Kerberos libraries and AD DC failed to guard against
 234                   integer overflows when parsing a PAC on a 32-bit system, which
 235                   allowed an attacker with a forged PAC to corrupt the heap.
 236                   https://www.samba.org/samba/security/CVE-2022-42898.html
 237
 238 Changes since 4.16.6
 239 --------------------
 240
 241 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 242    * BUG 15203: CVE-2022-42898
 243
 244 o  Nicolas Williams <nico@twosigma.com>
 245    * BUG 15203: CVE-2022-42898
 246
 247
 248 #######################################
 249 Reporting bugs & Development Discussion
 250 #######################################
 251
 252 Please discuss this release on the samba-technical mailing list or by
 253 joining the #samba-technical:matrix.org matrix room, or
 254 #samba-technical IRC channel on irc.libera.chat.
 255
 256
 257 If you do report problems then please try to send high quality
 258 feedback. If you don't provide vital information to help us track down
 259 the problem then you will probably be ignored.  All bug reports should
 260 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 261 database (https://bugzilla.samba.org/).
 262
 263
 264 ======================================================================
 265 == Our Code, Our Bugs, Our Responsibility.
 266 == The Samba Team
 267 ======================================================================
 268
 269
 270 ----------------------------------------------------------------------
 271                    ==============================
 272                    Release Notes for Samba 4.16.6
 273                           October 25, 2022
 274                    ==============================
 275
 276
 277 This is a security release in order to address the following defect:
 278
 279 o CVE-2022-3437:  There is a limited write heap buffer overflow in the GSSAPI
 280                   unwrap_des() and unwrap_des3() routines of Heimdal (included
 281                   in Samba).
 282                   https://www.samba.org/samba/security/CVE-2022-3437.html
 283
 284 Changes since 4.16.5
 285 ---------------------
 286
 287 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 288    * BUG 15134: CVE-2022-3437.
 289
 290
 291 #######################################
 292 Reporting bugs & Development Discussion
 293 #######################################
 294
 295 Please discuss this release on the samba-technical mailing list or by
 296 joining the #samba-technical:matrix.org matrix room, or
 297 #samba-technical IRC channel on irc.libera.chat.
 298
 299 If you do report problems then please try to send high quality
 300 feedback. If you don't provide vital information to help us track down
 301 the problem then you will probably be ignored.  All bug reports should
 302 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 303 database (https://bugzilla.samba.org/).
 304
 305
 306 ======================================================================
 307 == Our Code, Our Bugs, Our Responsibility.
 308 == The Samba Team
 309 ======================================================================
 310
 311
 312 ----------------------------------------------------------------------
 313                    ==============================
 314                    Release Notes for Samba 4.16.5
 315                          September 07, 2022
 316                    ==============================
 317
 318
 319 This is the latest stable release of the Samba 4.16 release series.
 320
 321
 322 Changes since 4.16.4
 323 --------------------
 324
 325 o  Jeremy Allison <jra@samba.org>
 326    * BUG 15128: Possible use after free of connection_struct when iterating
 327      smbd_server_connection->connections.
 328
 329 o  Ralph Boehme <slow@samba.org>
 330    * BUG 15086: Spotlight RPC service returns wrong response when Spotlight is
 331      disabled on a share.
 332    * BUG 15126: acl_xattr VFS module may unintentionally use filesystem
 333      permissions instead of ACL from xattr.
 334    * BUG 15153: Missing SMB2-GETINFO access checks from MS-SMB2 3.3.5.20.1.
 335    * BUG 15161: assert failed: !is_named_stream(smb_fname)") at
 336      ../../lib/util/fault.c:197.
 337
 338 o  Stefan Metzmacher <metze@samba.org>
 339    * BUG 15148: Missing READ_LEASE break could cause data corruption.
 340
 341 o  Andreas Schneider <asn@samba.org>
 342    * BUG 15124: rpcclient can crash using setuserinfo(2).
 343    * BUG 15132: Samba fails to build with glibc 2.36 caused by including
 344      <sys/mount.h> in libreplace.
 345
 346 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 347    * BUG 15152: SMB1 negotiation can fail to handle connection errors.
 348
 349 o  Michael Tokarev <mjt@tls.msk.ru>
 350    * BUG 15078: samba-tool domain join segfault when joining a samba ad domain.
 351
 352
 353 #######################################
 354 Reporting bugs & Development Discussion
 355 #######################################
 356
 357 Please discuss this release on the samba-technical mailing list or by
 358 joining the #samba-technical:matrix.org matrix room, or
 359 #samba-technical IRC channel on irc.libera.chat.
 360
 361
 362 If you do report problems then please try to send high quality
 363 feedback. If you don't provide vital information to help us track down
 364 the problem then you will probably be ignored.  All bug reports should
 365 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 366 database (https://bugzilla.samba.org/).
 367
 368
 369 ======================================================================
 370 == Our Code, Our Bugs, Our Responsibility.
 371 == The Samba Team
 372 ======================================================================
 373
 374
 375 ----------------------------------------------------------------------
 376                    ==============================
 377                    Release Notes for Samba 4.16.4
 378                            July 27, 2022
 379                    ==============================
 380
 381
 382 This is a security release in order to address the following defects:
 383
 384 o CVE-2022-2031:  Samba AD users can bypass certain restrictions associated with
 385                   changing passwords.
 386                   https://www.samba.org/samba/security/CVE-2022-2031.html
 387
 388 o CVE-2022-32744: Samba AD users can forge password change requests for any user.
 389                   https://www.samba.org/samba/security/CVE-2022-32744.html
 390
 391 o CVE-2022-32745: Samba AD users can crash the server process with an LDAP add
 392                   or modify request.
 393                   https://www.samba.org/samba/security/CVE-2022-32745.html
 394
 395 o CVE-2022-32746: Samba AD users can induce a use-after-free in the server
 396                   process with an LDAP add or modify request.
 397                   https://www.samba.org/samba/security/CVE-2022-32746.html
 398
 399 o CVE-2022-32742: Server memory information leak via SMB1.
 400                   https://www.samba.org/samba/security/CVE-2022-32742.html
 401
 402 Changes since 4.16.3
 403 --------------------
 404
 405 o  Jeremy Allison <jra@samba.org>
 406    * BUG 15085: CVE-2022-32742.
 407
 408 o  Andrew Bartlett <abartlet@samba.org>
 409    * BUG 15009: CVE-2022-32746.
 410
 411 o  Andreas Schneider <asn@samba.org>
 412    * BUG 15047: CVE-2022-2031.
 413
 414 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 415    * BUG 15008: CVE-2022-32745.
 416    * BUG 15009: CVE-2022-32746.
 417    * BUG 15047: CVE-2022-2031.
 418    * BUG 15074: CVE-2022-32744.
 419
 420
 421 #######################################
 422 Reporting bugs & Development Discussion
 423 #######################################
 424
 425 Please discuss this release on the samba-technical mailing list or by
 426 joining the #samba-technical:matrix.org matrix room, or
 427 #samba-technical IRC channel on irc.libera.chat.
 428
 429 If you do report problems then please try to send high quality
 430 feedback. If you don't provide vital information to help us track down
 431 the problem then you will probably be ignored.  All bug reports should
 432 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 433 database (https://bugzilla.samba.org/).
 434
 435
 436 ======================================================================
 437 == Our Code, Our Bugs, Our Responsibility.
 438 == The Samba Team
 439 ======================================================================
 440
 441
 442 ----------------------------------------------------------------------
 443                    ==============================
 444                    Release Notes for Samba 4.16.3
 445                            July 18, 2022
 446                    ==============================
 447
 448
 449 This is the latest stable release of the Samba 4.16 release series.
 450
 451
 452 Changes since 4.16.2
 453 --------------------
 454
 455 o  Jeremy Allison <jra@samba.org>
 456    * BUG 15099: Using vfs_streams_xattr and deleting a file causes a panic.
 457
 458 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 459    * BUG 14986: Add support for bind 9.18.
 460    * BUG 15076: logging dsdb audit to specific files does not work.
 461
 462 o  Samuel Cabrero <scabrero@samba.org>
 463    * BUG 14979: Problem when winbind renews Kerberos.
 464    * BUG 15095: Samba with new lorikeet-heimdal fails to build on gcc 12.1 in
 465      developer mode.
 466
 467 o  Volker Lendecke <vl@samba.org>
 468    * BUG 15105: Crash in streams_xattr because fsp->base_fsp->fsp_name is NULL.
 469    * BUG 15118: Crash in rpcd_classic - NULL pointer deference in
 470      mangle_is_mangled().
 471
 472 o  Noel Power <noel.power@suse.com>
 473    * BUG 15100: smbclient commands del & deltree fail with
 474      NT_STATUS_OBJECT_PATH_NOT_FOUND with DFS.
 475
 476 o  Christof Schmitt <cs@samba.org>
 477    * BUG 15120: Fix check for chown when processing NFSv4 ACL.
 478
 479 o  Andreas Schneider <asn@samba.org>
 480    * BUG 15082: The pcap background queue process should not be stopped.
 481    * BUG 15097: testparm: Fix typo in idmap rangesize check.
 482    * BUG 15106: net ads info returns LDAP server and LDAP server name as null.
 483    * BUG 15108: ldconfig: /lib64/libsmbconf.so.0 is not a symbolic link.
 484
 485 o  Martin Schwenke <martin@meltin.net>
 486    * BUG 15090: CTDB child process logging does not work as expected.
 487
 488
 489 #######################################
 490 Reporting bugs & Development Discussion
 491 #######################################
 492
 493 Please discuss this release on the samba-technical mailing list or by
 494 joining the #samba-technical:matrix.org matrix room, or
 495 #samba-technical IRC channel on irc.libera.chat.
 496
 497 If you do report problems then please try to send high quality
 498 feedback. If you don't provide vital information to help us track down
 499 the problem then you will probably be ignored.  All bug reports should
 500 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 501 database (https://bugzilla.samba.org/).
 502
 503
 504 ======================================================================
 505 == Our Code, Our Bugs, Our Responsibility.
 506 == The Samba Team
 507 ======================================================================
 508
 509
 510 ----------------------------------------------------------------------
 511                    ==============================
 512                    Release Notes for Samba 4.16.2
 513                            June 13, 2022
 514                    ==============================
 515
 516
 517 This is the latest stable release of the Samba 4.16 release series.
 518
 519
 520 Changes since 4.16.1
 521 --------------------
 522
 523 o  Jeremy Allison <jra@samba.org>
 524    * BUG 15042: Use pathref fd instead of io fd in vfs_default_durable_cookie.
 525
 526 o  Ralph Boehme <slow@samba.org>
 527    * BUG 15069: vfs_gpfs with vfs_shadowcopy2 fail to restore file if original
 528      file had been deleted.
 529
 530 o  Samuel Cabrero <scabrero@samba.org>
 531    * BUG 15087: netgroups support removed.
 532
 533 o  Samuel Cabrero <scabrero@suse.de>
 534    * BUG 14674: net ads info shows LDAP Server: 0.0.0.0 depending on contacted
 535      server.
 536
 537 o  Volker Lendecke <vl@samba.org>
 538    * BUG 15062: Update from 4.15  to 4.16 breaks discovery of [homes] on
 539      standalone server from Win and IOS.
 540
 541 o  Stefan Metzmacher <metze@samba.org>
 542    * BUG 15071: waf produces incorrect names for python extensions with Python
 543      3.11.
 544
 545 o  Noel Power <noel.power@suse.com>
 546    * BUG 15075: smbclient -E doesn't work as advertised.
 547
 548 o  Andreas Schneider <asn@samba.org>
 549    * BUG 15071: waf produces incorrect names for python extensions with Python
 550      3.11.
 551    * BUG 15081: The samba background daemon doesn't refresh the printcap cache
 552      on startup.
 553
 554 o  Robert Sprowson <webpages@sprow.co.uk>
 555    * BUG 14443: Out-by-4 error in smbd read reply max_send clamp..
 556
 557
 558 #######################################
 559 Reporting bugs & Development Discussion
 560 #######################################
 561
 562 Please discuss this release on the samba-technical mailing list or by
 563 joining the #samba-technical:matrix.org matrix room, or
 564 #samba-technical IRC channel on irc.libera.chat.
 565
 566 If you do report problems then please try to send high quality
 567 feedback. If you don't provide vital information to help us track down
 568 the problem then you will probably be ignored.  All bug reports should
 569 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 570 database (https://bugzilla.samba.org/).
 571
 572
 573 ======================================================================
 574 == Our Code, Our Bugs, Our Responsibility.
 575 == The Samba Team
 576 ======================================================================
 577
 578
 579 ----------------------------------------------------------------------
 580                    ==============================
 581                    Release Notes for Samba 4.16.1
 582                             May 02, 2022
 583                    ==============================
 584
 585
 586 This is the latest stable release of the Samba 4.16 release series.
 587
 588
 589 Changes since 4.16.0
 590 --------------------
 591
 592 o  Jeremy Allison <jra@samba.org>
 593    * BUG 14831: Share and server swapped in smbget password prompt.
 594    * BUG 15022: Durable handles won't reconnect if the leased file is written
 595      to.
 596    * BUG 15023: rmdir silently fails if directory contains unreadable files and
 597      hide unreadable is yes.
 598    * BUG 15038: SMB2_CLOSE_FLAGS_FULL_INFORMATION fails to return information on
 599      renamed file handle.
 600
 601 o  Andrew Bartlett <abartlet@samba.org>
 602    * BUG 8731: Need to describe --builtin-libraries= better (compare with
 603     --bundled-libraries).
 604
 605 o  Ralph Boehme <slow@samba.org>
 606    * BUG 14957: vfs_shadow_copy2 breaks "smbd async dosmode" sync fallback.
 607    * BUG 15035: shadow_copy2 fails listing snapshotted dirs with
 608      shadow:fixinodes.
 609
 610 o  Samuel Cabrero <scabrero@samba.org>
 611    * BUG 15046: PAM Kerberos authentication incorrectly fails with a clock skew
 612      error.
 613
 614 o  Pavel Filipenský <pfilipen@redhat.com>
 615    * BUG 15041: Username map - samba erroneously applies unix group memberships
 616      to user account entries.
 617
 618 o  Stefan Metzmacher <metze@samba.org>
 619    * BUG 14951: KVNO off by 100000.
 620
 621 o  Christof Schmitt <cs@samba.org>
 622    * BUG 15027: Uninitialized litemask in variable in vfs_gpfs module.
 623    * BUG 15055: vfs_gpfs recalls=no option prevents listing files.
 624
 625 o  Andreas Schneider <asn@cryptomilk.org>
 626    * BUG 15054: smbd doesn't handle UPNs for looking up names.
 627
 628
 629 #######################################
 630 Reporting bugs & Development Discussion
 631 #######################################
 632
 633 Please discuss this release on the samba-technical mailing list or by
 634 joining the #samba-technical:matrix.org matrix room, or
 635 #samba-technical IRC channel on irc.libera.chat.
 636
 637 If you do report problems then please try to send high quality
 638 feedback. If you don't provide vital information to help us track down
 639 the problem then you will probably be ignored.  All bug reports should
 640 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 641 database (https://bugzilla.samba.org/).
 642
 643
 644 ======================================================================
 645 == Our Code, Our Bugs, Our Responsibility.
 646 == The Samba Team
 647 ======================================================================
 648
 649
 650 ----------------------------------------------------------------------
 651                    ==============================
 652                    Release Notes for Samba 4.16.0
 653                            March 21, 2022
 654                    ==============================
 655
 656 This is the first stable release of the Samba 4.16 release series.
 657 Please read the release notes carefully before upgrading.
 658
 659
 660 NEW FEATURES/CHANGES
 661 ====================
 662
 663 New samba-dcerpcd binary to provide DCERPC in the member server setup
 664 ---------------------------------------------------------------------
 665
 666 In order to make it much easier to break out the DCERPC services
 667 from smbd, a new samba-dcerpcd binary has been created.
 668
 669 samba-dcerpcd can be used in two ways. In the normal case without
 670 startup script modification it is invoked on demand from smbd or
 671 winbind --np-helper to serve DCERPC over named pipes. Note that
 672 in order to run in this mode the smb.conf [global] section has
 673 a new parameter "rpc start on demand helpers = [true|false]".
 674 This parameter is set to "true" by default, meaning no changes to
 675 smb.conf files are needed to run samba-dcerpcd on demand as a named
 676 pipe helper.
 677
 678 It can also be used in a standalone mode where it is started
 679 separately from smbd or winbind but this requires changes to system
 680 startup scripts, and in addition a change to smb.conf, setting the new
 681 [global] parameter "rpc start on demand helpers = false". If "rpc
 682 start on demand helpers" is not set to false, samba-dcerpcd will
 683 refuse to start in standalone mode.
 684
 685 Note that when Samba is run in the Active Directory Domain Controller
 686 mode the samba binary that provides the AD code will still provide its
 687 normal DCERPC services whilst allowing samba-dcerpcd to provide
 688 services like SRVSVC in the same way that smbd used to in this
 689 configuration.
 690
 691 The parameters that allowed some smbd-hosted services to be started
 692 externally are now gone (detailed below) as this is now the default
 693 setting.
 694
 695 samba-dcerpcd can also be useful for use outside of the Samba
 696 framework, for example, use with the Linux kernel SMB2 server ksmbd or
 697 possibly other SMB2 server implementations.
 698
 699 Heimdal-8.0pre used for Samba Internal Kerberos, adds FAST support
 700 ------------------------------------------------------------------
 701
 702 Samba has since Samba 4.0 included a snapshot of the Heimdal Kerberos
 703 implementation.  This snapshot has now been updated and will closely
 704 match what will be released as Heimdal 8.0 shortly.
 705
 706 This is a major update, previously we used a snapshot of Heimdal from
 707 2011, and brings important new Kerberos security features such as
 708 Kerberos request armoring, known as FAST.  This tunnels ticket
 709 requests and replies that might be encrypted with a weak password
 710 inside a wrapper built with a stronger password, say from a machine
 711 account.
 712
 713 In Heimdal and MIT modes Samba's KDC now supports FAST, for the
 714 support of non-Windows clients.
 715
 716 Windows clients will not use this feature however, as they do not
 717 attempt to do so against a server not advertising domain Functional
 718 Level 2012.  Samba users are of course free to modify how Samba
 719 advertises itself, but use with Windows clients is not supported "out
 720 of the box".
 721
 722 Finally, Samba also uses a per-KDC, not per-realm 'cookie' to secure part of
 723 the FAST protocol.  A future version will align this more closely with
 724 Microsoft AD behaviour.
 725
 726 If FAST needs to be disabled on your Samba KDC, set
 727
 728  kdc enable fast = no
 729
 730 in the smb.conf.
 731
 732 The Samba project wishes to thank the numerous developers who have put
 733 in a massive effort to make this possible over many years.  In
 734 particular we thank Stefan Metzmacher, Joseph Sutton, Gary Lockyer,
 735 Isaac Boukris and Andrew Bartlett.  Samba's developers in turn thank
 736 their employers and in turn their customers who have supported this
 737 effort over many years.
 738
 739 Certificate Auto Enrollment
 740 ---------------------------
 741
 742 Certificate Auto Enrollment allows devices to enroll for certificates from
 743 Active Directory Certificate Services. It is enabled by Group Policy.
 744 To enable Certificate Auto Enrollment, Samba's group policy will need to be
 745 enabled by setting the smb.conf option `apply group policies` to Yes. Samba
 746 Certificate Auto Enrollment depends on certmonger, the cepces certmonger
 747 plugin, and sscep. Samba uses sscep to download the CA root chain, then uses
 748 certmonger paired with cepces to monitor the host certificate templates.
 749 Certificates are installed in /var/lib/samba/certs and private keys are
 750 installed in /var/lib/samba/private/certs.
 751
 752 Ability to add ports to dns forwarder addresses in internal DNS backend
 753 -----------------------------------------------------------------------
 754
 755 The internal DNS server of Samba forwards queries non-AD zones to one or more
 756 configured forwarders. Up until now it has been assumed that these forwarders
 757 listen on port 53. Starting with this version it is possible to configure the
 758 port using host:port notation. See smb.conf for more details. Existing setups
 759 are not affected, as the default port is 53.
 760
 761 CTDB changes
 762 ------------
 763
 764 * The "recovery master" role has been renamed "leader"
 765
 766   Documentation and logs now refer to "leader".
 767
 768   The following ctdb tool command names have changed:
 769
 770     recmaster -> leader
 771     setrecmasterrole -> setleaderrole
 772
 773   Command output has changed for the following commands:
 774
 775     status
 776     getcapabilities
 777
 778   The "[legacy] -> recmaster capability" configuration option has been
 779   renamed and moved to the cluster section, so this is now:
 780
 781     [cluster] -> leader capability
 782
 783 * The "recovery lock" has been renamed "cluster lock"
 784
 785   Documentation and logs now refer to "cluster lock".
 786
 787   The "[cluster] -> recovery lock" configuration option has been
 788   deprecated and will be removed in a future version.  Please use
 789   "[cluster] -> cluster lock" instead.
 790
 791   If the cluster lock is enabled then traditional elections are not
 792   done and leader elections use a race for the cluster lock.  This
 793   avoids various conditions where a node is elected leader but can not
 794   take the cluster lock.  Such conditions included:
 795
 796   - At startup, a node elects itself leader of its own cluster before
 797     connecting to other nodes
 798
 799   - Cluster filesystem failover is slow
 800
 801   The abbreviation "reclock" is still used in many places, because a
 802   better abbreviation eludes us (i.e. "clock" is obvious bad) and
 803   changing all instances would require a lot of churn.  If the
 804   abbreviation "reclock" for "cluster lock" is confusing, please
 805   consider mentally prefixing it with "really excellent".
 806
 807 * CTDB now uses leader broadcasts and an associated timeout to
 808   determine if an election is required
 809
 810   The leader broadcast timeout can be configured via new configuration
 811   option
 812
 813     [cluster] -> leader timeout
 814
 815   This specifies the number of seconds without leader broadcasts
 816   before a node calls an election.  The default is 5.
 817
 818
 819 REMOVED FEATURES
 820 ================
 821
 822 Older SMB1 protocol SMBCopy command removed
 823 -------------------------------------------
 824
 825 SMB is a nearly 30-year old protocol, and some protocol commands that
 826 while supported in all versions, have not seen widespread use.
 827
 828 One of those is SMBCopy, a feature for a server-side copy of a file.
 829 This feature has been so unmaintained that Samba has no testsuite for
 830 it.
 831
 832 The SMB1 command SMB_COM_COPY (SMB1 command number 0x29) was
 833 introduced in the LAN Manager 1.0 dialect and it was rendered obsolete
 834 in the NT LAN Manager dialect.
 835
 836 Therefore it has been removed from the Samba smbd server.
 837
 838 We do note that a fully supported and tested server-side copy is
 839 present in SMB2, and can be accessed with "scopy" subcommand in
 840 smbclient)
 841
 842 SMB1 server-side wildcard expansion removed
 843 -------------------------------------------
 844
 845 Server-side wildcard expansion is another feature that sounds useful,
 846 but is also rarely used and has become problematic - imposing extra
 847 work on the server (both in terms of code and CPU time).
 848
 849 In actual OS design, wildcard expansion is handled in the local shell,
 850 not at the remote server using SMB wildcard syntax (which is not shell
 851 syntax).
 852
 853 In Samba 4.16 the ability to process file name wildcards in requests
 854 using the SMB1 commands SMB_COM_RENAME (SMB1 command number 0x7),
 855 SMB_COM_NT_RENAME (SMB1 command number 0xA5) and SMB_COM_DELETE (SMB1
 856 command number 0x6) has been removed.
 857
 858 SMB1 protocol has been deprecated, particularly older dialects
 859 --------------------------------------------------------------
 860
 861 We take this opportunity to remind that we have deprecated and
 862 disabled by default, but not removed, the whole SMB1 protocol since
 863 Samba 4.11.  If needed for security purposes or code maintenance we
 864 will continue to remove older protocol commands and dialects that are
 865 unused or have been replaced in more modern SMB1 versions.
 866
 867 We specifically deprecate the older dialects older than "NT LM 0.12"
 868 (also known as "NT LANMAN 1.0" and "NT1").
 869
 870 Please note that "NT LM 0.12" is the dialect used by software as old
 871 as Windows 95, Windows NT and Samba 2.0, so this deprecation applies
 872 to DOS and similar era clients.
 873
 874 We do reassure that that 'simple' operation of older clients than
 875 these (eg DOS) will, while untested, continue for the near future, our
 876 purpose is not to cripple use of Samba in unique situations, but to
 877 reduce the maintaince burden.
 878
 879 Eventually SMB1 as a whole will be removed, but no broader change is
 880 announced for 4.16.
 881
 882 In the rare case where the above changes cause incompatibilities,
 883 users requiring support for these features will need to use older
 884 versions of Samba.
 885
 886 No longer using Linux mandatory locks for sharemodes
 887 ====================================================
 888
 889 smbd mapped sharemodes to Linux mandatory locks. This code in the Linux kernel
 890 was broken for a long time, and is planned to be removed with Linux 5.15. This
 891 Samba release removes the usage of mandatory locks for sharemodes and the
 892 "kernel share modes" config parameter is changed to default to "no". The Samba
 893 VFS interface is kept, so that file-system specific VFS modules can still use
 894 private calls for enforcing sharemodes.
 895
 896
 897 smb.conf changes
 898 ================
 899
 900   Parameter Name                          Description     Default
 901   --------------                          -----------     -------
 902   kernel share modes                      New default     No
 903   dns forwarder                           Changed
 904   rpc_daemon                              Removed
 905   rpc_server                              Removed
 906   rpc start on demand helpers             Added           true
 907
 908
 909 CHANGES SINCE 4.16.0rc5
 910 =======================
 911
 912 o  Andrew Bartlett <abartlet@samba.org>
 913    * BUG 15000: Memory leak in FAST cookie handling.
 914
 915 o  Elia Geretto <elia.f.geretto@gmail.com>
 916    * BUG 14983: NT_STATUS_ACCESS_DENIED translates into EPERM instead of EACCES
 917      in SMBC_server_internal.
 918
 919 o  Stefan Metzmacher <metze@samba.org>
 920    * BUG 13879: Simple bind doesn't work against an RODC (with non-preloaded
 921      users).
 922    * BUG 14641: Crash of winbind on RODC.
 923    * BUG 15001: LDAP simple binds should honour "old password allowed period".
 924    * BUG 15002: S4U2Self requests don't work against servers without FAST
 925      support.
 926    * BUG 15003: wbinfo -a doesn't work reliable with upn names.
 927    * BUG 15005: A cross-realm kerberos client exchanges fail using KDCs with and
 928      without FAST.
 929    * BUG 15015: PKINIT: hdb_samba4_audit: Unhandled hdb_auth_status=9 =>
 930      INTERNAL_ERROR.
 931
 932 o  Garming Sam <garming@catalyst.net.nz>
 933    * BUG 13879: Simple bind doesn't work against an RODC (with non-preloaded
 934      users).
 935
 936 o  Andreas Schneider <asn@samba.org>
 937    * BUG 15016: Regression: create krb5 conf = yes doesn't work with a single
 938      KDC.
 939
 940 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 941    * BUG 15015: PKINIT: hdb_samba4_audit: Unhandled hdb_auth_status=9 =>
 942      INTERNAL_ERROR.
 943
 944
 945 CHANGES SINCE 4.16.0rc4
 946 =======================
 947
 948 o  Jeremy Allison <jra@samba.org>
 949    * BUG 14737: Samba does not response STATUS_INVALID_PARAMETER when opening 2
 950      objects with same lease key.
 951
 952 o  Jule Anger <janger@samba.org>
 953    * BUG 14999: Listing shares with smbstatus no longer works.
 954
 955 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 956    * BUG 14996: Fix ldap simple bind with TLS auditing.
 957
 958 o  Andrew Bartlett <abartlet@samba.org>
 959    * BUG 14995: Use Heimdal 8.0 (pre) rather than an earlier snapshot.
 960
 961 o  Volker Lendecke <vl@samba.org>
 962    * BUG 14989: Fix a use-after-free in SMB1 server.
 963
 964 o  Stefan Metzmacher <metze@samba.org>
 965    * BUG 14865: Uncached logon on RODC always fails once.
 966    * BUG 14984: Changing the machine password against an RODC likely destroys
 967      the domain join.
 968    * BUG 14993: authsam_make_user_info_dc() steals memory from its struct
 969      ldb_message *msg argument.
 970    * BUG 14995: Use Heimdal 8.0 (pre) rather than an earlier snapshot.
 971
 972 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 973    * BUG 14995: Use Heimdal 8.0 (pre) rather than an earlier snapshot.
 974
 975
 976 CHANGES SINCE 4.16.0rc3
 977 =======================
 978
 979 o  Samuel Cabrero <scabrero@suse.de>
 980    * BUG 14979: Problem when winbind renews Kerberos.
 981
 982 o  Björn Jacke <bj@sernet.de>
 983    * BUG 13631: DFS fix for AIX broken.
 984    * BUG 14974: Solaris and AIX acl modules: wrong function arguments.
 985    * BUG 7239: Function aixacl_sys_acl_get_file not declared / coredump.
 986
 987 o  Andreas Schneider <asn@samba.org>
 988    * BUG 14967: Samba autorid fails to map AD users if id rangesize fits in the
 989      id range only once.
 990
 991 o  Martin Schwenke <martin@meltin.net>
 992    * BUG 14958: CTDB can get stuck in election and recovery.
 993
 994
 995 CHANGES SINCE 4.16.0rc2
 996 =======================
 997
 998 o  Jeremy Allison <jra@samba.org>
 999    * BUG 14169: Renaming file on DFS root fails with
1000      NT_STATUS_OBJECT_PATH_NOT_FOUND.
1001    * BUG 14938: NT error code is not set when overwriting a file during rename
1002      in libsmbclient.
1003
1004 o  Ralph Boehme <slow@samba.org>
1005    * BUG 14674: net ads info shows LDAP Server: 0.0.0.0 depending on contacted
1006      server.
1007
1008 o  Pavel Filipenský <pfilipen@redhat.com>
1009    * BUG 14971: virusfilter_vfs_openat: Not scanned: Directory or special file.
1010
1011 o  Volker Lendecke <vl@samba.org>
1012    * BUG 14900: Regression: Samba 4.15.2 on macOS segfaults intermittently
1013      during strcpy in tdbsam_getsampwnam.
1014    * BUG 14975: Fix a crash in vfs_full_audit - CREATE_FILE can free a used fsp.
1015
1016 o  Stefan Metzmacher <metze@samba.org>
1017    * BUG 14968: smb2_signing_decrypt_pdu() may not decrypt with
1018      gnutls_aead_cipher_decrypt() from gnutls before 3.5.2.
1019
1020 o  Andreas Schneider <asn@samba.org>
1021    * BUG 14960: SDB uses HDB flags directly which can lead to unwanted side
1022      effects.
1023
1024
1025 CHANGES SINCE 4.16.0rc1
1026 =======================
1027
1028 o  Jeremy Allison <jra@samba.org>
1029    * BUG 14911: CVE-2021-44141: UNIX extensions in SMB1 disclose whether the
1030      outside target of a symlink exists.
1031
1032 o  Ralph Boehme <slow@samba.org>
1033    * BUG 14914: CVE-2021-44142: Out-of-Bound Read/Write on Samba vfs_fruit
1034      module.
1035    * BUG 14961: install elasticsearch_mappings.json
1036
1037 o  FeRD (Frank Dana) <ferdnyc@gmail.com>
1038    * BUG 14947: samba-bgqd still notifying systemd, triggering log warnings
1039      without NotifyAccess=all.
1040
1041 o  Stefan Metzmacher <metze@samba.org>
1042    * BUG 14867: Printing no longer works on Windows 7 with 2021-10 monthly
1043      rollup patch.
1044    * BUG 14956: ndr_push_string() adds implicit termination for
1045      STR_NOTERM|REMAINING empty strings.
1046
1047 o  Joseph Sutton <josephsutton@catalyst.net.nz>
1048    * BUG 14950: CVE-2022-0336: Re-adding an SPN skips subsequent SPN conflict
1049      checks.
1050
1051
1052 KNOWN ISSUES
1053 ============
1054
1055 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.16#Release_blocking_bugs
1056
1057
1058 #######################################
1059 Reporting bugs & Development Discussion
1060 #######################################
1061
1062 Please discuss this release on the samba-technical mailing list or by
1063 joining the #samba-technical:matrix.org matrix room, or
1064 #samba-technical IRC channel on irc.libera.chat
1065
1066 If you do report problems then please try to send high quality
1067 feedback. If you don't provide vital information to help us track down
1068 the problem then you will probably be ignored.  All bug reports should
1069 be filed under the Samba 4.1 and newer product in the project's Bugzilla
1070 database (https://bugzilla.samba.org/).
1071
1072
1073 ======================================================================
1074 == Our Code, Our Bugs, Our Responsibility.
1075 == The Samba Team
1076 ======================================================================
1077