history/samba-4.1.1.html

   1 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
   2     "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
   3 <html xmlns="http://www.w3.org/1999/xhtml">
   4
   5 <head>
   6 <title>Samba - Release Notes Archive</title>
   7 </head>
   8
   9 <body>
  10
  11    <H2>Samba 4.1.1 Available for Download</H2>
  12
  13 <p>
  14 <pre>
  15                    =============================
  16                    Release Notes for Samba 4.1.1
  17                          November 11, 2013
  18                    =============================
  19
  20
  21 This is a security release in order to address
  22 CVE-2013-4475 (ACLs are not checked on opening an alternate
  23 data stream on a file or directory) and
  24 CVE-2013-4476 (Private key in key.pem world readable).
  25
  26 o  CVE-2013-4475:
  27    Samba versions 3.2.0 and above (all versions of 3.2.x, 3.3.x,
  28    3.4.x, 3.5.x, 3.6.x, 4.0.x and 4.1.x) do not check the underlying
  29    file or directory ACL when opening an alternate data stream.
  30
  31    According to the SMB1 and SMB2+ protocols the ACL on an underlying
  32    file or directory should control what access is allowed to alternate
  33    data streams that are associated with the file or directory.
  34
  35    By default no version of Samba supports alternate data streams
  36    on files or directories.
  37
  38    Samba can be configured to support alternate data streams by loading
  39    either one of two virtual file system modues (VFS) vfs_streams_depot or
  40    vfs_streams_xattr supplied with Samba, so this bug only affects Samba
  41    servers configured this way.
  42
  43    To determine if your server is vulnerable, check for the strings
  44    "streams_depot" or "streams_xattr" inside your smb.conf configuration
  45    file.
  46
  47 o  CVE-2013-4476:
  48    In setups which provide ldap(s) and/or https services, the private
  49    key for SSL/TLS encryption might be world readable. This typically
  50    happens in active directory domain controller setups.
  51
  52
  53 Changes since 4.1.0:
  54 --------------------
  55
  56 o   Jeremy Allison &lt;jra@samba.org&gt;
  57     * BUGs 10234 + 10229: CVE-2013-4475: Fix access check verification on stream
  58       files.
  59
  60
  61 o   Bj&ouml;rn Baumbach &lt;bb@sernet.de&gt;
  62     * BUG 10234: CVE-2013-4476: Private key in key.pem world readable.
  63 </pre>
  64
  65 </body>
  66 </html>