WHATSNEW.txt

   1                    =============================
   2                    Release Notes for Samba 4.2.3
   3                            July 14, 2015
   4                    =============================
   5
   6
   7 This is the latest stable release of Samba 4.2.
   8
   9
  10 Changes since 4.2.2:
  11 --------------------
  12
  13 o   Michael Adam <obnox@samba.org>
  14     * BUG 11366: docs: Overhaul the description of "smb encrypt" to include SMB3
  15       encryption.
  16
  17
  18 o   Jeremy Allison <jra@samba.org>
  19     * BUG 11068: s3: lib: util: Ensure we read a hex number as %x, not %u.
  20     * BUG 11295: Excessive cli_resolve_path() usage can slow down transmission.
  21     * BUG 11328: winbindd: winbindd_raw_kerberos_login - ensure logon_info
  22       exists in PAC.
  23     * BUG 11339: s3: smbd: Use separate flag to track
  24       become_root()/unbecome_root() state.
  25     * BUG 11342: s3: smbd: Codenomicon crash in do_smb_load_module().
  26
  27
  28 o   Christian Ambach <ambi@samba.org>
  29     * BUG 11170: s3:param/loadparm: Fix 'testparm --show-all-parameters'.
  30
  31
  32 o   Andrew Bartlett <abartlet@samba.org>
  33     * BUG 10991: winbindd: Sync secrets.ldb into secrets.tdb on startup.
  34
  35
  36 o   Ralph Boehme <slow@samba.org>
  37     * BUG 11277: s3:smb2: Add padding to last command in compound requests.
  38     * BUG 11305: vfs_fruit: Add option "veto_appledouble".
  39     * BUG 11323: smbd/trans2: Add a useful diagnostic for files with bad
  40       encoding.
  41     * BUG 11363: vfs_fruit: Check offset and length for AFP_AfpInfo read
  42       requests.
  43     * BUG 11371: ncacn_http: Fix GNUism.
  44
  45
  46 o   Günther Deschner <gd@samba.org>
  47     * BUG 11245: s3-rpc_server: Fix rpc_create_tcpip_sockets() processing of
  48       interfaces.
  49
  50
  51 o   Alexander Drozdov <al.drozdov@gmail.com>
  52     * BUG 11331: tdb: version 1.3.5: ABI change: tdb_chainlock_read_nonblock()
  53       has been added.
  54
  55
  56 o   Evangelos Foutras <evangelos@foutrelis.com>
  57     * BUG 8780: s4:lib/tls: Fix build with gnutls 3.4.
  58
  59
  60 o   David Holder <david.holder@erion.co.uk>
  61     * BUG 11281: Add IPv6 support to ADS client side LDAP connects.
  62     * BUG 11282: Add IPv6 support for determining FQDN during ADS join.
  63     * BUG 11283: s3: IPv6 enabled DNS connections for ADS client.
  64
  65
  66 o   Steve Howells <steve.howells@moscowfirst.com>
  67     * BUG 10924: s4.2/fsmo.py: Fixed fsmo transfer exception.
  68
  69
  70 o   Amitay Isaacs <amitay@gmail.com>
  71     * BUG 11293: Fix invalid write in ctdb_lock_context_destructor.
  72
  73
  74 o   Volker Lendecke <vl@samba.org>
  75     * BUG 11218: smbd: Fix a use-after-free.
  76     * BUG 11312: tstream: Make socketpair nonblocking.
  77     * BUG 11330: tevent: Fix CID 1035381 Unchecked return value.
  78     * BUG 11331: tdb: Fix CID 1034842 and 1034841 Resource leaks.
  79
  80
  81 o   Stefan Metzmacher <metze@samba.org>
  82     * BUG 11061: Logon via MS Remote Desktop hangs.
  83     * BUG 11141: tevent: Add a note to tevent_add_fd().
  84     * BUG 11293: Fix invalid write in ctdb_lock_context_destructor.
  85     * BUG 11316: tevent_fd needs to be destroyed before closing the fd.
  86     * BUG 11319: Build fails on Solaris 11 with "‘PTHREAD_MUTEX_ROBUST’
  87       undeclared".
  88     * BUG 11326: Robust mutex support broken in 1.3.5.
  89     * BUG 11329: s3:smb2_setinfo: Fix memory leak in the defer_rename case.
  90     * BUG 11330: Backport tevent-0.9.25.
  91     * BUG 11331: Backport tdb-1.3.6.
  92     * BUG 11367: s3:auth_domain: Fix talloc problem in
  93       connect_to_domain_password_server().
  94
  95
  96 o   Marc Muehlfeld <mmuehlfeld@samba.org>
  97     * BUG 11315: Group creation: Add msSFU30Name only when --nis-domain was
  98       given.
  99
 100 o   Matthieu Patou <mat@matws.net>
 101     * BUG 11356: pidl: Make the compilation of PIDL producing the same results
 102       if the content hasn't change.
 103
 104
 105 o   Noel Power <noel.power@suse.com>
 106     * BUG 11328: Kerberos auth info3 should contain resource group ids available
 107       from pac_logon.
 108
 109
 110 o   Gordon Ross <gordon.w.ross@gmail.com>
 111     * BUG 11330: lib: tevent: Fix compile error in Solaris ports backend.
 112
 113
 114 o   Christof Schmitt <cs@samba.org>
 115     * BUG 11313: idmap_rfc2307: Fix wbinfo '--gid-to-sid' query.
 116     * BUG 11324: Change sharesec output back to previous format.
 117
 118
 119 o   Uri Simchoni <urisimchoni@gmail.com>
 120     * BUG 11358: winbindd: Disconnect child process if request is cancelled at
 121       main process.
 122
 123
 124 o   Petr Viktorin <pviktori@redhat.com>
 125     * BUG 11330: Backport tevent-0.9.25.
 126
 127
 128 o   Youzhong Yang <yyang@mathworks.com>
 129     * BUG 11217: s3-unix_msg: Remove socket file after closing socket fd.
 130
 131
 132 #######################################
 133 Reporting bugs & Development Discussion
 134 #######################################
 135
 136 Please discuss this release on the samba-technical mailing list or by
 137 joining the #samba-technical IRC channel on irc.freenode.net.
 138
 139 If you do report problems then please try to send high quality
 140 feedback. If you don't provide vital information to help us track down
 141 the problem then you will probably be ignored.  All bug reports should
 142 be filed under the Samba 4.2 product in the project's Bugzilla
 143 database (https://bugzilla.samba.org/).
 144
 145
 146 ======================================================================
 147 == Our Code, Our Bugs, Our Responsibility.
 148 == The Samba Team
 149 ======================================================================
 150
 151
 152 Release notes for older releases follow:
 153 ----------------------------------------
 154
 155 ======================================================================
 156
 157                    =============================
 158                    Release Notes for Samba 4.2.2
 159                            May 27, 2015
 160                    =============================
 161
 162
 163 This is the latest stable release of Samba 4.2.
 164
 165
 166 Changes since 4.2.1:
 167 --------------------
 168
 169 o   Michael Adam <obnox@samba.org>
 170     * BUG 11182: s3:smbXsrv: refactor duplicate code into
 171       smbXsrv_session_clear_and_logoff().
 172     * BUG 11260: gencache: don't fail gencache_stabilize if there were records
 173       to delete.
 174
 175
 176 o   Jeremy Allison <jra@samba.org>
 177     * BUG 11186: s3: libsmbclient: After getting attribute server, ensure main
 178       srv pointer is still valid.
 179     * BUG 11236: s4: rpc: Refactor dcesrv_alter() function into setup and send
 180       steps.
 181     * BUG 11240: s3: smbd: Incorrect file size returned in the response of
 182       "FILE_SUPERSEDE Create".
 183     * BUG 11249: Mangled names do not work with acl_xattr.
 184     * BUG 11254: nmbd rewrites browse.dat when not required.
 185
 186
 187 o   Ralph Boehme <slow@samba.org>
 188     * BUG 11213: vfs_fruit: add option "nfs_aces" that controls the NFS ACEs
 189       stuff.
 190     * BUG 11224: s3:smbd: Add missing tevent_req_nterror.
 191     * BUG 11243: vfs: kernel_flock and named streams.
 192     * BUG 11244: vfs_gpfs: Error code path doesn't call END_PROFILE.
 193
 194
 195 o   Alexander Bokovoy <ab@samba.org>
 196     * BUG 11284: s4: libcli/finddcs_cldap: continue processing CLDAP until all
 197       addresses are used.
 198
 199
 200 o   David Disseldorp <ddiss@samba.org>
 201     * BUG 11201: ctdb: check for talloc_asprintf() failure.:w
 202     * BUG 11210: spoolss: purge the printer name cache on name change.
 203
 204
 205 o   Amitay Isaacs <amitay@gmail.com>
 206     * BUG 11204: CTDB statd-callout does not scale.
 207
 208
 209 o   Björn Jacke <bj@sernet.de>
 210     * BUG 11221: vfs_fruit: also map characters below 0x20.
 211
 212
 213 o   Rajesh Joseph <rjoseph@redhat.com>
 214     * BUG 11201: ctdb: Coverity fix for CID 1291643.
 215
 216
 217 o   Julien Kerihuel <j.kerihuel@openchange.org>
 218     * BUG 11225: Multiplexed RPC connections are not handled by DCERPC server.
 219     * BUG 11226: Fix terminate connection behavior for asynchronous endpoint
 220       with PUSH notification flavors.
 221
 222
 223 o   Led <ledest@gmail.com>
 224     * BUG 11007: ctdb-scripts: Fix bashism in ctdbd_wrapper script.
 225
 226
 227 o   Volker Lendecke <vl@samba.org>
 228     * BUG 11201: ctdb: Fix CIDs 1125615, 1125634, 1125613, 1288201 and 1125553.
 229     * BUG 11257: SMB2 should cancel pending NOTIFY calls with DELETE_PENDING if
 230       the directory is deleted.
 231
 232
 233 o   Stefan Metzmacher <metze@samba.org>
 234     * BUG 11141: s3:winbindd: make sure we remove pending io requests before
 235       closing client sockets.
 236     * BUG 11182: Fix panic triggered by smbd_smb2_request_notify_done() ->
 237       smbXsrv_session_find_channel() in smbd.
 238
 239
 240 o   Christof Schmitt <cs@samba.org>
 241     * BUG 11237: 'sharesec' output no longer matches input format.
 242
 243
 244 o   Andreas Schneider <asn@samba.org>
 245     * BUG 11200: waf: Fix systemd detection.
 246
 247
 248 o   Martin Schwenke <martin@meltin.net>
 249     * BUG 11202: CTDB: Fix portability issues.
 250     * BUG 11203: CTDB: Fix some IPv6-related issues.
 251     * BUG 11204: CTDB statd-callout does not scale.
 252
 253
 254 o   Richard Sharpe <rsharpe@nutanix.com>
 255     * BUG 11234: 'net ads dns gethostbyname' crashes with an error in TALLOC_FREE
 256       if you enter invalid values.
 257
 258
 259 o   Uri Simchoni <urisimchoni@gmail.com>
 260     * BUG 11267: libads: record service ticket endtime for sealed ldap
 261       connections.
 262
 263
 264 o   Lukas Slebodnik <lslebodn@redhat.com>
 265     * BUG 11033: lib/util: Include DEBUG macro in internal header files before
 266       samba_util.h.
 267
 268
 269 #######################################
 270 Reporting bugs & Development Discussion
 271 #######################################
 272
 273 Please discuss this release on the samba-technical mailing list or by
 274 joining the #samba-technical IRC channel on irc.freenode.net.
 275
 276 If you do report problems then please try to send high quality
 277 feedback. If you don't provide vital information to help us track down
 278 the problem then you will probably be ignored.  All bug reports should
 279 be filed under the Samba 4.2 product in the project's Bugzilla
 280 database (https://bugzilla.samba.org/).
 281
 282
 283 ======================================================================
 284 == Our Code, Our Bugs, Our Responsibility.
 285 == The Samba Team
 286 ======================================================================
 287
 288
 289 ----------------------------------------------------------------------
 290
 291
 292                    =============================
 293                    Release Notes for Samba 4.2.1
 294                            April 15, 2015
 295                    =============================
 296
 297
 298 This is the latest stable release of Samba 4.2.
 299
 300
 301 Changes since 4.2.0:
 302 --------------------
 303
 304 o   Michael Adam <obnox@samba.org>
 305     * BUG 8905: s3:winbind:grent: Don't stop group enumeration when a group has
 306       no gid.
 307     * BUG 10476: build:wafadmin: Fix use of spaces instead of tabs.
 308     * BUG 11143: s3-winbind: Fix cached user group lookup of trusted domains.
 309
 310
 311 o   Jeremy Allison <jra@samba.org>
 312     * BUG 10016: s3: lib: ntlmssp: If NTLMSSP_NEGOTIATE_TARGET_INFO isn't set,
 313       cope with servers that don't send the 2 unused fields.
 314     * BUG 10888: s3: client: "client use spnego principal = yes" code checks
 315       wrong name.
 316     * BUG 11079: s3: lib: libsmbclient: If reusing a server struct, check every
 317       cli->timout miliseconds if it's still valid before use.
 318     * BUG 11173: s3: libcli: smb1: Ensure we correctly finish a tevent req if
 319       the writev fails in the SMB1 case.
 320     * BUG 11175: Fix lots of winbindd zombie processes on Solaris platform.
 321     * BUG 11177: s3: libsmbclient: Add missing talloc stackframe.
 322
 323
 324 o   Andrew Bartlett <abartlet@samba.org>
 325     * BUG 11135: backupkey: Explicitly link to gnutls and gcrypt.
 326     * BUG 11174: backupkey: Use ndr_pull_struct_blob_all().
 327
 328
 329 o   Ralph Boehme <slow@samba.org>
 330     * BUG 11125: vfs_fruit: Enhance handling of malformed AppleDouble files.
 331
 332
 333 o   Samuel Cabrero <samuelcabrero@kernevil.me>
 334     * BUG 9791: Initialize dwFlags field of DNS_RPC_NODE structure.
 335
 336
 337 o   David Disseldorp <ddiss@samba.org>
 338     * BUG 11169: docs/idmap_rid: Remove deprecated base_rid from example.
 339
 340
 341 o   Volker Lendecke <vl@samba.org>
 342     * BUG 10476: waf: Fix the build on openbsd.
 343
 344
 345 o   Stefan Metzmacher <metze@samba.org>
 346     * BUG 11144: talloc: Version 2.1.2.
 347     * BUG 11164: s4:auth/gensec_gssapi: Let gensec_gssapi_update() return
 348       NT_STATUS_LOGON_FAILURE for unknown errors.
 349
 350
 351 o   Matthew Newton <matthew-git@newtoncomputing.co.uk>
 352     * BUG 11149: Update libwbclient version to 0.12.
 353
 354
 355 o   Andreas Schneider <asn@samba.org>
 356     * BUG 11018: spoolss: Retrieve published printer GUID if not in registry.
 357     * BUG 11135: replace: Remove superfluous check for gcrypt header.
 358     * BUG 11180: s4-process_model: Do not close random fds while forking.
 359     * BUG 11185: s3-passdb: Fix 'force user' with winbind default domain.
 360
 361
 362 o   Christof Schmitt <cs@samba.org>
 363     * BUG 11153: brlock: Use 0 instead of empty initializer list.
 364
 365
 366 o   Thomas Schulz <schulz@adi.com>
 367     * BUG 11092: lib: texpect: Fix the build on Solaris.
 368     * BUG 11140: libcli/auth: Match Declaration of
 369       netlogon_creds_cli_context_tmp with implementation.
 370
 371
 372 o   Jelmer Vernooij <jelmer@samba.org>
 373     * BUG 11137: Backport subunit changes.
 374
 375
 376 #######################################
 377 Reporting bugs & Development Discussion
 378 #######################################
 379
 380 Please discuss this release on the samba-technical mailing list or by
 381 joining the #samba-technical IRC channel on irc.freenode.net.
 382
 383 If you do report problems then please try to send high quality
 384 feedback. If you don't provide vital information to help us track down
 385 the problem then you will probably be ignored.  All bug reports should
 386 be filed under the Samba 4.2 product in the project's Bugzilla
 387 database (https://bugzilla.samba.org/).
 388
 389
 390 ======================================================================
 391 == Our Code, Our Bugs, Our Responsibility.
 392 == The Samba Team
 393 ======================================================================
 394
 395
 396 ----------------------------------------------------------------------
 397
 398
 399                    =============================
 400                    Release Notes for Samba 4.2.0
 401                            March 04, 2015
 402                    =============================
 403
 404
 405 This is is the first stable release of Samba 4.2.
 406
 407 Samba 4.2 will be the next version of the Samba suite.
 408
 409
 410 Samba User Survey 2015
 411 ======================
 412
 413 https://www.surveygizmo.com/s3/2020369/Samba-User-Survey-2015
 414
 415 Please take our survey. It will help us improve Samba by understanding
 416 your knowledge and needs. The survey runs until end of March 2015 and
 417 won't ask for any personal info. The full results will be shared with
 418 the Samba Team, and statistical summaries will be shared with the
 419 Samba community after the SambaXP conference (http://sambaxp.org).
 420
 421
 422 IMPORTANT NOTE ABOUT THE SUPPORT END OF SAMBA 3
 423 =================================================
 424
 425 With the final release of Samba 4.2, the last series of Samba 3 has
 426 been discontinued! People still running 3.6.x or earlier,should
 427 consider moving to a more recent and maintained version (4.0 - 4.2).
 428 One of the common misconceptions is that Samba 4.x automatically
 429 means "Active Directory only": This is wrong!
 430
 431 Acting as an Active Directory Domain Controller is just one of the
 432 enhancements included in Samba 4.0 and later. Version 4.0 was just the
 433 next release after the 3.6 series and contains all the features of the
 434 previous ones - including the NT4-style (classic) domain support. This
 435 means you can update a Samba 3.x NT4-style PDC to 4.x, just as you've
 436 updated in the past (e.g. from 3.4.x to 3.5.x). You don't have to move
 437 your NT4-style domain to an Active Directory!
 438
 439 And of course the possibility remains unchanged, to setup a new NT4-style
 440 PDC with Samba 4.x, like done in the past (e.g. with openLDAP backend).
 441 Active Directory support in Samba 4 is additional and does not replace
 442 any of these features. We do understand the difficulty presented by
 443 existing LDAP structures and for that reason there isn't a plan to
 444 decommission the classic PDC support. It remains tested by the continuous
 445 integration system.
 446
 447 The code that supports the classic Domain Controller is also the same
 448 code that supports the internal 'Domain' of standalone servers and
 449 Domain Member Servers. This means that we still use this code, even
 450 when not acting as an AD Domain Controller. It is also the basis for
 451 some of the features of FreeIPA and so it gets development attention
 452 from that direction as well.
 453
 454
 455 UPGRADING
 456 =========
 457
 458 Read the "Winbindd/Netlogon improvements" section (below) carefully!
 459
 460
 461 NEW FEATURES
 462 ============
 463
 464 Transparent File Compression
 465 ============================
 466
 467 Samba 4.2.0 adds support for the manipulation of file and folder
 468 compression flags on the Btrfs filesystem.
 469 With the Btrfs Samba VFS module enabled, SMB2+ compression flags can
 470 be set remotely from the Windows Explorer File->Properties->Advanced
 471 dialog. Files flagged for compression are transparently compressed
 472 and uncompressed when accessed or modified.
 473
 474 Previous File Versions with Snapper
 475 ===================================
 476
 477 The newly added Snapper VFS module exposes snapshots managed by
 478 Snapper for use by Samba. This provides the ability for remote
 479 clients to access shadow-copies via Windows Explorer using the
 480 "previous versions" dialog.
 481
 482 Winbindd/Netlogon improvements
 483 ==============================
 484
 485 The whole concept of maintaining the netlogon secure channel
 486 to (other) domain controllers was rewritten in order to maintain
 487 global state in a netlogon_creds_cli.tdb. This is the proper fix
 488 for a large number of bugs:
 489
 490   https://bugzilla.samba.org/show_bug.cgi?id=6563
 491   https://bugzilla.samba.org/show_bug.cgi?id=7944
 492   https://bugzilla.samba.org/show_bug.cgi?id=7945
 493   https://bugzilla.samba.org/show_bug.cgi?id=7568
 494   https://bugzilla.samba.org/show_bug.cgi?id=8599
 495
 496 In addition a strong session key is now required by default,
 497 which means that communication to older servers or clients
 498 might be rejected by default.
 499
 500 For the client side we have the following new options:
 501 "require strong key" (yes by default), "reject md5 servers" (no by default).
 502 E.g. for Samba 3.0.37 you need "require strong key = no" and
 503 for NT4 DCs you need "require strong key = no" and "client NTLMv2 auth = no",
 504
 505 On the server side (as domain controller) we have the following new options:
 506 "allow nt4 crypto" (no by default), "reject md5 client" (no by default).
 507 E.g. in order to allow Samba < 3.0.27 or NT4 members to work
 508 you need "allow nt4 crypto = yes"
 509
 510 winbindd does not list group memberships for display purposes
 511 (e.g. getent group <domain\<group>) anymore by default.
 512 The new default is "winbind expand groups = 0" now,
 513 the reason for this is the same as for "winbind enum users = no"
 514 and "winbind enum groups = no". Providing this information is not always
 515 reliably possible, e.g. if there are trusted domains.
 516
 517 Please consult the smb.conf manpage for more details on these new options.
 518
 519 Winbindd use on the Samba AD DC
 520 ===============================
 521
 522 Winbindd is now used on the Samba AD DC by default, replacing the
 523 partial rewrite used for winbind operations in Samba 4.0 and 4.1.
 524
 525 This allows more code to be shared, more options to be honoured, and
 526 paves the way for support for trusted domains in the AD DC.
 527
 528 If required the old internal winbind can be activated by setting
 529 'server services = +winbind -winbindd'.  Upgrading users with a server
 530 services parameter specified should ensure they change 'winbind' to
 531 'winbindd' to obtain the new functionality.
 532
 533 The 'samba' binary still manages the starting of this service, there
 534 is no need to start the winbindd binary manually.
 535
 536 Winbind now requires secured connections
 537 ========================================
 538
 539 To improve protection against rogue domain controllers we now require
 540 that when we connect to an AD DC in our forest, that the connection be
 541 signed using SMB Signing.  Set 'client signing = off' in the smb.conf
 542 to disable.
 543
 544 Also and DCE/RPC pipes must be sealed, set 'require strong key =
 545 false' and 'winbind sealed pipes = false' to disable.
 546
 547 Finally, the default for 'client ldap sasl wrapping' has been set to
 548 'sign', to ensure the integrity of LDAP connections.  Set 'client ldap
 549 sasl wrapping = plain' to disable.
 550
 551 Larger IO sizes for SMB2/3 by default
 552 =====================================
 553
 554 The default values for "smb2 max read", "smb2 max write" and "smb2 max trans"
 555 have been changed to 8388608 (8MiB) in order to match the default of
 556 Windows 2012R2.
 557
 558 SMB2 leases
 559 ===========
 560
 561 The SMB2 protocol allows clients to aggressively cache files
 562 locally above and beyond the caching allowed by SMB1 and SMB2 oplocks.
 563
 564 Called SMB2 leases, this can greatly reduce traffic on an SMB2
 565 connection. Samba 4.2 now implements SMB2 leases.
 566
 567 It can be turned on by setting the parameter "smb2 leases = yes"
 568 in the [global] section of your smb.conf. This parameter is set
 569 to off by default until the SMB2 leasing code is declared fully stable.
 570
 571 Improved DCERPC man in the middle detection
 572 ===========================================
 573
 574 The DCERPC header signing has been implemented
 575 in addition to the dcerpc_sec_verification_trailer
 576 protection.
 577
 578 Overhauled "net idmap" command
 579 ==============================
 580
 581 The command line interface of the "net idmap" command has been
 582 made systematic, and subcommands for reading and writing the autorid idmap
 583 database have been added. Note that the writing commands should be
 584 used with great care. See the net(8) manual page for details.
 585
 586 tdb improvements
 587 ================
 588
 589 The tdb library, our core mechanism to store Samba-specific data on disk and
 590 share it between processes, has been improved to support process shared robust
 591 mutexes on Linux. These mutexes are available on Linux and Solaris and
 592 significantly reduce the overhead involved with tdb. To enable mutexes for
 593 tdb, set
 594
 595 dbwrap_tdb_mutexes:* = yes
 596
 597 in the [global] section of your smb.conf.
 598
 599 Tdb file space management has also been made more efficient. This
 600 will lead to smaller and less fragmented databases.
 601
 602 Messaging improvements
 603 ======================
 604
 605 Our internal messaging subsystem, used for example for things like oplock
 606 break messages between smbds or setting a process debug level dynamically, has
 607 been rewritten to use unix domain datagram messages.
 608
 609 Clustering support
 610 ==================
 611
 612 Samba's file server clustering component CTDB is now integrated in the
 613 Samba tree.  This avoids the confusion of compatibility of Samba and CTDB
 614 versions as existed previously.
 615
 616 To build the Samba file server with cluster support, use the configure
 617 command line option --with-cluster-support.  This will build clustered
 618 file server against the in-tree CTDB and will also build CTDB.
 619 Building clustered samba with previous versions of CTDB is no longer
 620 supported.
 621
 622 Samba Registry Editor
 623 =====================
 624
 625 The utitlity to browse the samba registry has been overhauled by our Google
 626 Summer of Code student Chris Davis. Now samba-regedit has a
 627 Midnight-Commander-like theme and UI experience. You can browse keys and edit
 628 the diffent value types. For a data value type a hexeditor has been
 629 implemented.
 630
 631 Bad Password Lockout in the AD DC
 632 =================================
 633
 634 Samba's AD DC now implements bad password lockout (on a per-DC basis).
 635
 636 That is, incorrect password attempts are tracked, and accounts locked
 637 out if too many bad passwords are submitted.  There is also a grace
 638 period of 60 minutes on the previous password when used for NTLM
 639 authentication (matching Windows 2003 SP1: https://support2.microsoft.com/kb/906305).
 640
 641 The relevant settings can be seen using 'samba-tool domain
 642 passwordsettings show' (the new settings being highlighted):
 643
 644 Password informations for domain 'DC=samba,DC=example,DC=com'
 645
 646 Password complexity: on
 647 Store plaintext passwords: off
 648 Password history length: 24
 649 Minimum password length: 7
 650 Minimum password age (days): 1
 651 Maximum password age (days): 42
 652 * Account lockout duration (mins): 30     *
 653 * Account lockout threshold (attempts): 0 *
 654 * Reset account lockout after (mins): 30  *
 655
 656 These values can be set using 'samba-tool domain passwordsettings set'.
 657
 658 Correct defaults in the smb.conf manpages
 659 =========================================
 660
 661 The default values for smb.conf parameters are now correctly specified
 662 in the smb.conf manpage, even when they refer to build-time specified
 663 paths.  Provided Samba is built on a system with the right tools
 664 (xsltproc in particular) required to generate our man pages, then
 665 these will be built with the exact same embedded paths as used by the
 666 configuration parser at runtime.  Additionally, the default values
 667 read from the smb.conf manpage are checked by our test suite to match
 668 the values seen in testparm and used by the running binaries.
 669
 670 Consistent behaviour between samba-tool testparm and testparm
 671 =============================================================
 672
 673 With the exception of the registry backend, which remains only
 674 available in the file server, the behaviour of the smb.conf parser and
 675 the tools 'samba-tool testparm' and 'testparm' is now consistent,
 676 particularly with regard to default values.  Except with regard to
 677 registry shares, it is no longer needed to use one tool on the AD
 678 DC, and another on the file server.
 679
 680 VFS WORM module
 681 ===============
 682
 683 A VFS module for basic WORM (Write once read many) support has been
 684 added. It allows an additional layer on top of a Samba share, that provides
 685 a basic set of WORM functionality on the client side, to control the
 686 writeability of files and folders.
 687
 688 As the module is simply an additional layer, share access and permissions
 689 work like expected - only WORM functionality is added on top. Removing the
 690 module from the share configuration, removes this layer again. The
 691 filesystem ACLs are not affected in any way from the module and treated
 692 as usual.
 693
 694 The module does not provide complete WORM functions, like some archiving
 695 products do! It is not audit-proof, because the WORM function is only
 696 available on the client side, when accessing a share through SMB! If
 697 the same folder is shared by other services like NFS, the access only
 698 depends on the underlying filesystem ACLs. Equally if you access the
 699 content directly on the server.
 700
 701 For additional information, see
 702 https://wiki.samba.org/index.php/VFS/vfs_worm
 703
 704 vfs_fruit, a VFS module for OS X clients
 705 ========================================
 706
 707 A new VFS module that provides enhanced compatibility with Apple SMB
 708 clients and interoperability with a Netatalk 3 AFP fileserver.
 709
 710 The module features enhanced performance with reliable named streams
 711 support, interoperability with special characters commonly used by OS
 712 X client (eg '*', '/'), integrated file locking and Mac metadata
 713 access with Netatalk 3 and enhanced performance by implementing
 714 Apple's SMB2 extension codenamed "AAPL".
 715
 716 The modules behaviour is fully configurable, please refer to the
 717 manpage vfs_fruit for further details.
 718
 719 smbclient archival improvements
 720 ===============================
 721
 722 Archive creation and extraction support in smbclient has been rewritten
 723 to use libarchive. This fixes a number of outstanding bugs in Samba's
 724 previous custom tar implementation and also adds support for the
 725 extraction of zipped archives.
 726 smbclient archive support can be enabled or disabled at build time with
 727 corresponding --with[out]-libarchive configure parameters.
 728
 729
 730 ######################################################################
 731 Changes
 732 #######
 733
 734 smb.conf changes
 735 ----------------
 736
 737    Parameter Name                       Description     Default
 738    --------------                       -----------     -------
 739
 740    allow nt4 crypto                     New             no
 741    neutralize nt4 emulation             New             no
 742    reject md5 client                    New             no
 743    reject md5 servers                   New             no
 744    require strong key                   New             yes
 745    smb2 max read                        Changed default 8388608
 746    smb2 max write                       Changed default 8388608
 747    smb2 max trans                       Changed default 8388608
 748    winbind expand groups                Changed default 0
 749
 750
 751 CHANGES SINCE 4.2.0rc5
 752 ======================
 753
 754 o   Michael Adam <obnox@samba.org>
 755     * BUG 11117: doc:man:vfs_glusterfs: improve the configuration section.
 756
 757
 758 o   Jeremy Allison <jra@samba.org>
 759     * BUG 11118: tevent: Ignore unexpected signal events in the same way the
 760       epoll backend does.
 761
 762
 763 o   Andrew Bartlett <abartlet@samba.org>
 764     * BUG 11100: debug: Set close-on-exec for the main log file FD.
 765     * BUG 11097: Fix Win8.1 Credentials Manager issue after KB2992611 on Samba
 766       domain.
 767
 768
 769 o   Ira Cooper <ira@samba.org>
 770     * BUG 1115: smbd: Stop using vfs_Chdir after SMB_VFS_DISCONNECT.
 771
 772
 773 o   Günther Deschner <gd@samba.org>
 774     * BUG 11088: vfs: Add a brief vfs_ceph manpage.
 775
 776
 777 o   David Disseldorp <ddiss@samba.org>
 778     * BUG 11118: tevent: version 0.9.24.
 779
 780
 781 o   Amitay Isaacs <amitay@gmail.com>
 782     * BUG 11124: ctdb-io: Do not use sys_write to write to client sockets.
 783
 784
 785 o   Volker Lendecke <vl@samba.org>
 786     * BUG 11119: snprintf: Try to support %j.
 787
 788
 789 o   Garming Sam <garming@catalyst.net.nz>
 790     * BUG 11097: Fix Win8.1 Credentials Manager issue after KB2992611 on Samba
 791       domain.
 792
 793
 794 o   Andreas Schneider <asn@samba.org>
 795     * BUG 11127: doc-xml: Add 'sharesec' reference to 'access based share
 796       enum'.
 797
 798
 799 CHANGES SINCE 4.2.0rc4
 800 ======================
 801
 802 o   Michael Adam <obnox@samba.org>
 803     * BUG 11032: Enable mutexes in gencache_notrans.tdb.
 804     * BUG 11058: cli_connect_nb_send: Don't segfault on host == NULL.
 805
 806
 807 o   Jeremy Allison <jra@samba.org>
 808     * BUG 10849: s3: lib, s3: modules: Fix compilation on Solaris.
 809     * BUG 11044: Fix authentication using Kerberos (not AD).
 810     * BUG 11077: CVE-2015-0240: s3: netlogon: Ensure we don't call talloc_free
 811       on an uninitialized pointer.
 812     * BUG 11094: s3: smbclient: Allinfo leaves the file handle open.
 813     * BUG 11102: s3: smbd: leases - losen paranoia check. Stat opens can grant
 814       leases.
 815     * BUG 11104: s3: smbd: SMB2 close. If a file has delete on close, store the
 816       return info before deleting.
 817
 818
 819 o   Ira Cooper <ira@samba.org>
 820     * BUG 11069: vfs_glusterfs: Add comments to the pipe(2) code.
 821
 822
 823 o   Günther Deschner <gd@samba.org>
 824     * BUG 11070: s3-vfs: Fix developer build of vfs_ceph module.
 825
 826
 827 o   David Disseldorp <ddiss@samba.org>
 828     * BUG 10808: printing/cups: Pack requested-attributes with IPP_TAG_KEYWORD.
 829     * BUG 11055: vfs_snapper: Correctly handles multi-byte DBus strings.
 830     * BUG 11059: libsmb: Provide authinfo domain for encrypted session
 831       referrals.
 832
 833
 834 o   Poornima G <pgurusid@redhat.com>
 835     * BUG 11069: vfs_glusterfs: Implement AIO support.
 836
 837
 838 o   Volker Lendecke <vl@samba.org>
 839     * BUG 11032: Enable mutexes in gencache_notrans.tdb.
 840
 841
 842 o   Stefan Metzmacher <metze@samba.org>
 843     * BUG 9299: nsswitch: Fix soname of linux nss_*.so.2 modules.
 844     * BUG 9702: s3:smb2_server: protect against integer wrap with "smb2 max
 845       credits = 65535".
 846     * BUG 9810: Make validate_ldb of String(Generalized-Time) accept
 847       millisecond format ".000Z".
 848     * BUG 10112: Use -R linker flag on Solaris, not -rpath.
 849
 850
 851 o   Marc Muehlfeld <mmuehlfeld@samba.org>
 852     * BUG 10909: samba-tool: Create NIS enabled users and unixHomeDirectory
 853       attribute.
 854
 855
 856 o   Garming Sam <garming@catalyst.net.nz>
 857     * BUG 11022: Make Sharepoint search show user documents.
 858
 859
 860 o   Christof Schmitt <cs@samba.org>
 861     * BUG 11032: Enable mutexes in gencache_notrans.tdb.
 862
 863
 864 o   Andreas Schneider <asn@samba.org>
 865     * BUG 11058: utils: Fix 'net time' segfault.
 866     * BUG 11066: s3-pam_smbpass: Fix memory leak in pam_sm_authenticate().
 867     * BUG 11077: CVE-2015-0240: s3-netlogon: Make sure we do not deference a
 868       NULL pointer.
 869
 870
 871 o   Raghavendra Talur <raghavendra.talur@gmail.com>
 872     * BUG 11069: vfs/glusterfs: Change xattr key to match gluster key.
 873
 874
 875 CHANGES SINCE 4.2.0rc3
 876 ======================
 877
 878 o   Andrew Bartlett <abartlet@samba.org>
 879     * BUG 10993: CVE-2014-8143: dsdb-samldb: Check for extended access
 880       rights before we allow changes to userAccountControl.
 881
 882
 883 o   Günther Deschner <gd@samba.org>
 884     * BUG 10240: vfs: Add glusterfs manpage.
 885
 886
 887 o   David Disseldorp <ddiss@samba.org>
 888     * BUG 10984: Fix spoolss IDL response marshalling when returning error
 889       without clearing info.
 890
 891
 892 o   Amitay Isaacs <amitay@gmail.com>
 893     * BUG 11000: ctdb-daemon: Use correct tdb flags when enabling robust mutex
 894       support.
 895
 896
 897 o   Volker Lendecke <vl@samba.org>
 898     * BUG 11032: tdb_wrap: Make mutexes easier to use.
 899     * BUG 11039: vfs_fruit: Fix base_fsp name conversion.
 900     * BUG 11040: vfs_fruit: mmap under FreeBSD needs PROT_READ.
 901     * BUG 11051: net: Fix sam addgroupmem.
 902
 903
 904 o   Stefan Metzmacher <metze@samba.org>
 905     * BUG 10940: s3:passdb: fix logic in pdb_set_pw_history().
 906     * BUG 11004: tdb: version 1.3.4.
 907
 908
 909 o   Christof Schmitt <cs@samba.org>
 910     * BUG 11034: winbind: Retry after SESSION_EXPIRED error in ping-dc.
 911
 912
 913 o   Andreas Schneider <asn@samba.org>
 914     * BUG 11008: s3-util: Fix authentication with long hostnames.
 915     * BUG 11026: nss_wrapper: check for nss.h.
 916     * BUG 11033: lib/util: Avoid collision which alread defined consumer DEBUG
 917       macro.
 918     * BUG 11037: s3-libads: Fix a possible segfault in kerberos_fetch_pac().
 919
 920
 921 CHANGES SINCE 4.2.0rc2
 922 ======================
 923
 924 o   Michael Adam <obnox@samba.org>
 925     * BUG 10892: Integrate CTDB into top-level Samba build.
 926
 927
 928 o   Jeremy Allison <jra@samba.org>
 929     * BUG 10851: lib: uid_wrapper: Fix setgroups and syscall detection on a
 930       system without native uid_wrapper library.
 931     * BUG 10896: s3-nmbd: Fix netbios name truncation.
 932     * BUG 10904: Fix smbclient loops doing a directory listing against Mac OS X 10
 933       server with a non-wildcard path.
 934     * BUG 10911: Add support for SMB2 leases.
 935     * BUG 10920: s3: nmbd: Ensure NetBIOS names are only 15 characters stored.
 936     * BUG 10966: libcli: SMB2: Pure SMB2-only negprot fix to make us behave as a
 937       Windows client does.
 938     * BUG 10982: s3: smbd: Fix *allocate* calls to follow POSIX error return
 939       convention.
 940
 941
 942 o   Christian Ambach <ambi@samba.org>
 943     * BUG 9629: Make 'profiles' work again.
 944
 945
 946 o   Björn Baumbach <bb@sernet.de>
 947     * BUG 11014: ctdb-build: Fix build without xsltproc.
 948
 949
 950 o   Ralph Boehme <slow@samba.org>
 951     * BUG 10834: Don't build vfs_snapper on FreeBSD.
 952     * BUG 10971: vfs_streams_xattr: Check stream type.
 953     * BUG 10983: vfs_fruit: Add support for AAPL.
 954     * BUG 11005: vfs_streams_xattr: Add missing call to SMB_VFS_NEXT_CONNECT.
 955
 956
 957 o   Günther Deschner <gd@samba.org>
 958     * BUG 9056: pam_winbind: fix warn_pwd_expire implementation.
 959     * BUG 10942: Cleanup add_string_to_array and usage.
 960
 961
 962 o   David Disseldorp <ddiss@samba.org>
 963     * BUG 10898: spoolss: Fix handling of bad EnumJobs levels.
 964     * BUG 10905: Fix print job enumeration.
 965
 966
 967 o   Amitay Isaacs <amitay@gmail.com>
 968     * BUG 10620: s4-dns: Add support for BIND 9.10.
 969     * BUG 10892: Integrate CTDB into top-level Samba build.
 970     * BUG 10996: Fix IPv6 support in CTDB.
 971     * BUG 11014: packaging: Include CTDB man pages in the tarball.
 972
 973
 974 o   Björn Jacke <bj@sernet.de>
 975     * BUG 10835: nss_winbind: Add getgroupmembership for FreeBSD.
 976
 977
 978 o   Guenter Kukkukk <linux@kukkukk.com>
 979     * BUG 10952: Fix 'samba-tool dns serverinfo <server>' for IPv6.
 980
 981
 982 o   Volker Lendecke <vl@samba.org>
 983     * BUG 10932: pdb_tdb: Fix a TALLOC/SAFE_FREE mixup.
 984     * BUG 10942: dbwrap_ctdb: Pass on mutex flags to tdb_open.
 985
 986
 987 o   Justin Maggard <jmaggard10@gmail.com>
 988     * BUG 10852: winbind3: Fix pwent variable substitution.
 989
 990
 991 o   Kamen Mazdrashki <kamenim@samba.org>
 992     * BUG 10975: ldb: version 1.1.18
 993
 994
 995 o   Stefan Metzmacher <metze@samba.org>
 996     * BUG 10781: tdb: version 1.3.3
 997     * BUG 10911: Add support for SMB2 leases.
 998     * BUG 10921: s3:smbd: Fix file corruption using "write cache size != 0".
 999     * BUG 10949: Fix RootDSE search with extended dn control.
1000     * BUG 10958: libcli/smb: only force signing of smb2 session setups when
1001       binding a new session.
1002     * BUG 10975: ldb: version 1.1.18
1003     * BUG 11016: pdb_get_trusteddom_pw() fails with non valid UTF16 random
1004       passwords.
1005
1006
1007 o   Marc Muehlfeld <mmuehlfeld@samba.org>
1008     * BUG 10895: samba-tool group add: Add option '--nis-domain' and '--gid'.
1009
1010
1011 o   Noel Power <noel.power@suse.com>
1012     * BUG 10918: btrfs: Don't leak opened directory handle.
1013
1014
1015 o   Matt Rogers <mrogers@redhat.com>
1016     * BUG 10933: s3-keytab: fix keytab array NULL termination.
1017
1018
1019 o   Garming Sam <garming@catalyst.net.nz>
1020     * BUG 10355: pdb: Fix build issues with shared modules.
1021     * BUG 10720: idmap: Return the correct id type to *id_to_sid methods.
1022     * BUG 10864: Fix testparm to show hidden share defaults.
1023
1024
1025 o   Andreas Schneider <asn@samba.org>
1026     * BUG 10279: Make 'smbclient' use cached creds.
1027     * BUG 10960: s3-smbclient: Return success if we listed the shares.
1028     * BUG 10961: s3-smbstatus: Fix exit code of profile output.
1029     * BUG 10965: socket_wrapper: Add missing prototype check for eventfd.
1030
1031
1032 o   Martin Schwenke <martin@meltin.net>
1033     * BUG 10892: Integrate CTDB into top-level Samba build.
1034     * BUG 10996: Fix IPv6 support in CTDB.
1035
1036
1037 CHANGES SINCE 4.2.0rc1
1038 ======================
1039
1040 o   Jeremy Allison <jra@samba.org>
1041     * BUG 10848: s3: smb2cli: query info return length check was reversed.
1042
1043
1044 o   Björn Baumbach <bb@sernet.de>
1045     * BUG 10862: build: Do not install 'texpect' binary anymore.
1046
1047
1048 o   Chris Davis <cd.rattan@gmail.com>
1049     * BUG 10859: Improve samba-regedit.
1050
1051
1052 o   Jakub Hrozek <jakub.hrozek@gmail.com>
1053     * BUG 10861: Fix build of socket_wrapper on systems without SO_PROTOCOL.
1054
1055
1056 o   Volker Lendecke <vl@samba.org>
1057     * BUG 10860: registry: Don't leave dangling transactions.
1058
1059
1060 o   Stefan Metzmacher <metze@samba.org>
1061     * BUG 10866: libcli/smb: Fix smb2cli_validate_negotiate_info with
1062       min=PROTOCOL_NT1 max=PROTOCOL_SMB2_02.
1063
1064
1065 o   Christof Schmitt <cs@samba.org>
1066     * BUG 10837: idmap_rfc2307: Fix a crash after connection problem to DC.
1067
1068
1069 #######################################
1070 Reporting bugs & Development Discussion
1071 #######################################
1072
1073 Please discuss this release on the samba-technical mailing list or by
1074 joining the #samba-technical IRC channel on irc.freenode.net.
1075
1076 If you do report problems then please try to send high quality
1077 feedback. If you don't provide vital information to help us track down
1078 the problem then you will probably be ignored.  All bug reports should
1079 be filed under the Samba 4.2 product in the project's Bugzilla
1080 database (https://bugzilla.samba.org/).
1081
1082
1083 ======================================================================
1084 == Our Code, Our Bugs, Our Responsibility.
1085 == The Samba Team
1086 ======================================================================
1087