history/samba-4.9.0.html

   1 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
   2  "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
   3 <html xmlns="http://www.w3.org/1999/xhtml">
   4 <head>
   5 <title>Samba 4.9.0 - Release Notes</title>
   6 </head>
   7 <body>
   8 <H2>Samba 4.9.0 Available for Download</H2>
   9 <p>
  10 <a href="https://download.samba.org/pub/samba/stable/samba-4.9.0.tar.gz">Samba 4.9.0 (gzipped)</a><br>
  11 <a href="https://download.samba.org/pub/samba/stable/samba-4.9.0.tar.asc">Signature</a>
  12 </p>
  13 <p>
  14 <pre>
  15                    =============================
  16                    Release Notes for Samba 4.9.0
  17                         September 13, 2018
  18                    =============================
  19
  20
  21 This is the first stable release of the Samba 4.9 release series.
  22 Please read the release notes carefully before upgrading.
  23
  24
  25 NEW FEATURES/CHANGES
  26 ====================
  27
  28 &apos;net ads setspn&apos;
  29 ----------------
  30
  31 There is a new &apos;net ads setspn&apos; sub command for managing Windows SPN(s)
  32 on the AD. This command aims to give the basic functionality that is
  33 provided on windows by &apos;setspn.exe&apos; e.g. ability to add, delete and list
  34 Windows SPN(s) stored in a Windows AD Computer object.
  35
  36 The format of the command is:
  37
  38 net ads setspn list [machine]
  39 net ads setspn [add | delete ] SPN [machine]
  40
  41 &apos;machine&apos; is the name of the computer account on the AD that is to be managed.
  42 If &apos;machine&apos; is not specified the name of the &apos;client&apos; running the command
  43 is used instead.
  44
  45 The format of a Windows SPN is
  46   &apos;serviceclass/host:port/servicename&apos; (servicename and port are optional)
  47
  48 serviceclass/host is generally sufficient to specify a host based service.
  49
  50 &apos;net ads keytab&apos; changes
  51 ------------------------
  52
  53 net ads keytab add no longer attempts to convert the passed serviceclass
  54 (e.g. nfs, html etc.) into a Windows SPN which is added to the Windows AD
  55 computer object. By default just the keytab file is modified.
  56
  57 A new keytab subcommand &apos;add_update_ads&apos; has been added to preserve the
  58 legacy behaviour. However the new &apos;net ads setspn add&apos; subcommand should
  59 really be used instead.
  60
  61 net ads keytab create no longer tries to generate SPN(s) from existing
  62 entries in a keytab file. If it is required to add Windows SPN(s) then
  63 &apos;net ads setspn add&apos; should be used instead.
  64
  65 Local authorization plugin for MIT Kerberos
  66 -------------------------------------------
  67
  68 This plugin controls the relationship between Kerberos principals and AD
  69 accounts through winbind. The module receives the Kerberos principal and the
  70 local account name as inputs and can then check if they match. This can resolve
  71 issues with canonicalized names returned by Kerberos within AD. If the user
  72 tries to log in as &apos;alice&apos;, but the samAccountName is set to ALICE (uppercase),
  73 Kerberos would return ALICE as the username. Kerberos would not be able to map
  74 &apos;alice&apos; to &apos;ALICE&apos; in this case and auth would fail.  With this plugin, account
  75 names can be correctly mapped. This only applies to GSSAPI authentication,
  76 not for getting the initial ticket granting ticket.
  77
  78 VFS audit modules
  79 -----------------
  80
  81 The vfs_full_audit module has changed its default set of monitored successful
  82 and failed operations from &quot;all&quot; to &quot;none&quot;. That helps to prevent potential
  83 denial of service caused by simple addition of the module to the VFS objects.
  84
  85 Also, modules vfs_audit, vfs_ext_audit and vfs_full_audit now accept any valid
  86 syslog(3) facility, in accordance with the manual page.
  87
  88 Database audit support
  89 ----------------------
  90
  91 Changes to the Samba AD&apos;s sam.ldb database are now logged to Samba&apos;s debug log
  92 under the &quot;dsdb_audit&quot; debug class and &quot;dsdb_json_audit&quot; for JSON formatted log
  93 entries.
  94
  95 Transaction commits and roll backs are now logged to Samba&apos;s debug logs under
  96 the &quot;dsdb_transaction_audit&quot; debug class and &quot;dsdb_transaction_json_audit&quot; for
  97 JSON formatted log entries.
  98
  99 Password change audit support
 100 -----------------------------
 101
 102 Password changes in the AD DC are now logged to Samba&apos;s debug logs under the
 103 &quot;dsdb_password_audit&quot; debug class and &quot;dsdb_password_json_audit&quot; for JSON
 104 formatted log entries.
 105
 106 Group membership change audit support
 107 -------------------------------------
 108
 109 Group membership changes on the AD DC are now logged to
 110 Samba&apos;s debug log under the &quot;dsdb_group_audit&quot; debug class and
 111 &quot;dsdb_group_json_audit&quot; for JSON formatted log entries.
 112
 113 Log Authentication duration
 114 ---------------------------
 115
 116 For NTLM and Kerberos KDC authentication, the authentication duration is now
 117 logged. Note that the duration is only included in the JSON formatted log
 118 entries.
 119
 120 JSON library Jansson required for the AD DC
 121 -------------------------------------------
 122
 123 By default, the Jansson JSON library is required for Samba to build.
 124 It is strictly required for the Samba AD DC, and is optional for
 125 builds &quot;--without-ad-dc&quot; by specifying &quot;--without-json-audit&quot; at configure
 126 time.
 127
 128 New experimental LMDB LDB backend
 129 ---------------------------------
 130
 131 A new experimental LDB backend using LMDB is now available. This allows
 132 databases larger than 4Gb (Currently the limit is set to 6Gb, but this will be
 133 increased in a future release). To enable lmdb, provision or join a domain using
 134 the &quot;--backend-store=mdb&quot; option.
 135
 136 This requires that a version of lmdb greater than 0.9.16 is installed and that
 137 samba has not been built with the &quot;--without-ldb-lmdb&quot; option.
 138
 139 Please note this is an experimental feature and is not recommended for
 140 production deployments.
 141
 142 Password Settings Objects
 143 -------------------------
 144
 145 Support has been added for Password Settings Objects (PSOs). This AD feature is
 146 also known as Fine-Grained Password Policies (FGPP).
 147
 148 PSOs allow AD administrators to override the domain password policy settings
 149 for specific users, or groups of users. For example, PSOs can force certain
 150 users to have longer password lengths, or relax the complexity constraints for
 151 other users, and so on. PSOs can be applied to groups or to individual users.
 152 When multiple PSOs apply to the same user, essentially the PSO with the best
 153 precedence takes effect.
 154
 155 PSOs can be configured and applied to users/groups using the &apos;samba-tool domain
 156 passwordsettings pso&apos; set of commands.
 157
 158 Domain backup and restore
 159 -------------------------
 160
 161 A new &apos;samba-tool&apos; subcommand has been added that allows administrators to
 162 create a backup-file of their domain DB. In the event of a catastrophic failure
 163 of the domain, this backup-file can be used to restore Samba services.
 164
 165 The new &apos;samba-tool domain backup online&apos; command takes a snapshot of the
 166 domain DB from a given DC. In the event of a catastrophic DB failure, all DCs
 167 in the domain should be taken offline, and the backup-file can then be used to
 168 recreate a fresh new DC, using the &apos;samba-tool domain backup restore&apos; command.
 169 Once the backed-up domain DB has been restored on the new DC, other DCs can
 170 then subsequently be joined to the new DC, in order to repopulate the Samba
 171 network.
 172
 173 Domain rename tool
 174 ------------------
 175
 176 Basic support has been added for renaming a Samba domain. The rename feature is
 177 designed for the following cases:
 178 1). Running a temporary alternate domain, in the event of a catastrophic
 179 failure of the regular domain. Using a completely different domain name and
 180 realm means that the original domain and the renamed domain can both run at the
 181 same time, without interfering with each other. This is an advantage over
 182 creating a regular &apos;online&apos; backup - it means the renamed/alternate domain can
 183 provide core Samba network services, while trouble-shooting the fault on the
 184 original domain can be done in parallel.
 185 2). Creating a realistic lab domain or pre-production domain for testing.
 186
 187 Note that the renamed tool is currently not intended to support a long-term
 188 rename of the production domain. Currently renaming the GPOs is not supported
 189 and would need to be done manually.
 190
 191 The domain rename is done in two steps: first, the &apos;samba-tool domain backup
 192 rename&apos; command will clone the domain DB, renaming it in the process, and
 193 producing a backup-file. Then, the &apos;samba-tool domain backup restore&apos; command
 194 takes the backup-file and restores the renamed DB to disk on a fresh DC.
 195
 196 New samba-tool options for diagnosing DRS replication issues
 197 ------------------------------------------------------------
 198
 199 The &apos;samba-tool drs showrepl&apos; command has two new options controlling
 200 the output. With --summary, the command says very little when DRS
 201 replication is working well. With --json, JSON is produced. These
 202 options are intended for human and machine audiences, respectively.
 203
 204 The &apos;samba-tool visualize uptodateness&apos; visualizes replication lag as
 205 a heat-map matrix based on the DRS uptodateness vectors. This will
 206 show you if (but not why) changes are failing to replicate to some DCs.
 207
 208 Automatic site coverage and GetDCName improvements
 209 --------------------------------------------------
 210
 211 Samba&apos;s AD DC now automatically claims otherwise empty sites based on
 212 which DC is the nearest in the replication topology.
 213
 214 This, combined with efforts to correctly identify the client side in
 215 the GetDCName Netlogon call will improve service to sites without a
 216 local DC.
 217
 218 Improved &apos;samba-tool computer&apos; command
 219 --------------------------------------
 220
 221 The &apos;samba-tool computer&apos; command allow manipulation of computer
 222 accounts including creating a new computer and resetting the password.
 223 This allows an &apos;offline join&apos; of a member server or workstation to the
 224 Samba AD domain.
 225
 226 New &apos;samba-tool ou&apos; command
 227 ---------------------------
 228
 229 The new &apos;samba-tool ou&apos; command allows to manage organizational units.
 230
 231 Available subcommands are:
 232   create       - Create an organizational unit.
 233   delete       - Delete an organizational unit.
 234   list         - List all organizational units
 235   listobjects  - List all objects in an organizational unit.
 236   move         - Move an organizational unit.
 237   rename       - Rename an organizational unit.
 238
 239 In addition to the ou commands, there are new subcommands for the user
 240 and group management, which can make use of the organizational units:
 241   group move   - Move a group to an organizational unit/container.
 242   user move    - Move a user to an organizational unit/container.
 243   user show    - Display a user AD object.
 244
 245 Samba performance tool now operates against Microsoft Windows AD
 246 ----------------------------------------------------------------
 247
 248 The Samba AD performance testing tool &apos;traffic_reply&apos; can now operate
 249 against a Windows based AD domain.  Previously it only operated
 250 correctly against Samba.
 251
 252 DNS entries are now cleaned up during DC demote
 253 -----------------------------------------------
 254
 255 DNS records are now cleaned up as part of the &apos;samba-tool domain
 256 demote&apos; including both the default and &apos;--remove-other-dead-server&apos;
 257 modes.
 258
 259 Additionally, DNS records can be automatically cleaned up for a given
 260 name with the &apos;samba-tool dns cleanup&apos; command, which aids in cleaning
 261 up partially removed DCs.
 262
 263 samba-tool ntacl sysvolreset is now much faster
 264 -----------------------------------------------
 265
 266 The &apos;samba-tool ntacl sysvolreset&apos; command, used on the Samba AD DC,
 267 is now much faster than in previous versions, after an internal
 268 rework.
 269
 270 Samba now tested with CI GitLab
 271 -------------------------------
 272
 273 Samba developers now have pre-commit testing available in GitLab,
 274 giving reviewers confidence that the submitted patches pass a full CI
 275 before being submitted to the Samba Team&apos;s own autobuild system.
 276
 277 Dynamic DNS record scavenging support
 278 -------------------------------------
 279
 280 It is now possible to enable scavenging of DNS Zones to remove DNS
 281 records that were dynamically created and have not been touched in
 282 some time.
 283
 284 This support should however only be enabled on new zones or new
 285 installations.  Sadly old Samba versions suffer from BUG 12451 and
 286 mark dynamic DNS records as static and static records as dynamic.
 287 While a dbcheck rule may be able to find these in the future,
 288 currently a reliable test has not been devised.
 289
 290 Finally, there is not currently a command-line tool to enable this
 291 feature, currently it should be enabled from the DNS Manager tool from
 292 Windows. Also the feature needs to have been enabled by setting the smb.conf
 293 parameter &quot;dns zone scavenging = yes&quot;.
 294
 295 Improved support for trusted domains (as AD DC)
 296 -----------------------------------------------
 297
 298 The support for trusted domains/forests has been further improved.
 299
 300 External domain trusts, as well a transitive forest trusts,
 301 are supported in both directions (inbound and outbound)
 302 for Kerberos and NTLM authentication.
 303
 304 The following features are new in 4.9 (compared to 4.8):
 305
 306 - It&apos;s now possible to add users/groups of a trusted domain
 307   into domain groups. The group memberships are expanded
 308   on trust boundaries.
 309 - foreignSecurityPrincipal objects (FPO) are now automatically
 310   created when members (as SID) of a trusted domain/forest
 311   are added to a group.
 312 - The &apos;samba-tool group *members&apos; commands allow
 313   members to be specified as foreign SIDs.
 314
 315 However there are currently still a few limitations:
 316
 317 - Both sides of the trust need to fully trust each other!
 318 - No SID filtering rules are applied at all!
 319 - This means DCs of domain A can grant domain admin rights
 320   in domain B.
 321 - Selective (CROSS_ORGANIZATION) authentication is
 322   not supported. It&apos;s possible to create such a trust,
 323   but the KDC and winbindd ignore them.
 324 - Samba can still only operate in a forest with just
 325   one single domain.
 326
 327 CTDB changes
 328 ------------
 329
 330 There are many changes to CTDB in this release.
 331
 332 * Configuration has been completely overhauled
 333
 334   - Daemon and tool options are now specified in a new ctdb.conf
 335     Samba-style configuration file.  See ctdb.conf(5) for details.
 336
 337   - Event script configuration is no longer specified in the top-level
 338     configuration file.  It can now be specified per event script.
 339     For example, configuration options for the 50.samba event script
 340     can be placed alongside the event script in a file called
 341     50.samba.options.  Script options can also be specified in a new
 342     script.options file.  See ctdb-script.options(5) for details.
 343
 344   - Options that affect CTDB startup should be configured in the
 345     distribution-specific configuration file.  See ctdb.sysconfig(5)
 346     for details.
 347
 348   - Tunable settings are now loaded from ctdb.tunables.  Using
 349     CTDB_SET_TunableVariable=&lt;value&gt; in the main configuration file is
 350     no longer supported.  See ctdb-tunables(7) for details.
 351
 352   A example script to migrate an old-style configuration to the new
 353   style is available in ctdb/doc/examples/config_migrate.sh.
 354
 355 * The following configuration variables and corresponding ctdbd
 356   command-line options have been removed and not replaced with
 357   counterparts in the new configuration scheme:
 358
 359     CTDB_PIDFILE                     --pidfile
 360     CTDB_SOCKET                      --socket
 361     CTDB_NODES                       --nlist
 362     CTDB_PUBLIC_ADDRESSES            --public-addresses
 363     CTDB_EVENT_SCRIPT_DIR            --event-script-dir
 364     CTDB_NOTIFY_SCRIPT               --notification-script
 365     CTDB_PUBLIC_INTERFACE            --public-interface
 366     CTDB_MAX_PERSISTENT_CHECK_ERRORS --max-persistent-check-errors
 367
 368   - The compile-time defaults should be used for the first 6 of these.
 369   - Use a symbolic link from the configuration directory to specify a
 370     different location for nodes or public_addresses (e.g. in the
 371     cluster filesystem).
 372   - Executable notification scripts in the notify.d/ subdirectory of
 373     the configuration directory are now run by unconditionally.
 374   - Interfaces for public IP addresses must always be specified in the
 375     public_addresses file using the currently supported format.
 376
 377   Some related items that have been removed are:
 378
 379   - The ctdb command&apos;s --socket command-line option
 380   - The ctdb command&apos;s CTDB_NODES environment variable
 381
 382   When writing tests there are still mechanisms available to change
 383   the locations of certain directories and files.
 384
 385 * The following ctdbd.conf and ctdbd options have been replaced by new
 386   ctdb.conf options:
 387
 388     CTDB_LOGGING/--logging                     logging  -&gt; location
 389     CTDB_DEBUGLEVEL/-d                         logging  -&gt; log level
 390     CTDB_TRANSPORT/--transport                 cluster  -&gt; transport
 391     CTDB_NODE_ADDRESS/--listen                 cluster  -&gt; node address
 392     CTDB_RECOVERY_LOCK/--reclock               cluster  -&gt; recovery lock
 393     CTDB_DBDIR/--dbdir                         database -&gt; volatile database directory
 394     CTDB_DBDIR_PERSISTENT/--dbdir-persistent   database -&gt; peristent database directory
 395     CTDB_DBDIR_STATE/--dbdir-state             database -&gt; state database directory
 396     CTDB_DEBUG_LOCKS                           database -&gt; lock debug script
 397     CTDB_DEBUG_HUNG_SCRIPT                     event    -&gt; debug script
 398     CTDB_NOSETSCHED/--nosetsched               legacy   -&gt; realtime scheduling
 399     CTDB_CAPABILITY_RECMASTER/--no-recmaster   legacy   -&gt; recmaster capability
 400     CTDB_CAPABILITY_LMASTER/--no-lmaster       legacy   -&gt; lmaster capability
 401     CTDB_START_AS_STOPPED/--start-as-stopped   legacy   -&gt; start as stopped
 402     CTDB_START_AS_DISABLED/--start-as-disabled legacy   -&gt; start as disabled
 403     CTDB_SCRIPT_LOG_LEVEL/--script-log-level   legacy   -&gt; script log level
 404
 405 * Event scripts have moved to the scripts/legacy subdirectory of the
 406   configuration directory
 407
 408   Event scripts must now end with a &quot;.script&quot; suffix.
 409
 410 * The &quot;ctdb event&quot; command has changed in 2 ways:
 411
 412   - A component is now required for all commands
 413
 414     In this release the only valid component is &quot;legacy&quot;.
 415
 416   - There is no longer a default event when running &quot;ctdb event status&quot;
 417
 418     Listing the status of the &quot;monitor&quot; event is now done via:
 419
 420       ctdb event status legacy monitor
 421
 422    See ctdb(1) for details.
 423
 424 * The following service-related event script options have been
 425   removed:
 426
 427     CTDB_MANAGES_SAMBA
 428     CTDB_MANAGES_WINBIND
 429
 430     CTDB_MANAGES_CLAMD
 431     CTDB_MANAGES_HTTPD
 432     CTDB_MANAGES_ISCSI
 433     CTDB_MANAGES_NFS
 434     CTDB_MANAGES_VSFTPD
 435
 436     CTDB_MANAGED_SERVICES
 437
 438   Event scripts for services are now disabled by default.  To enable
 439   an event script and, therefore, manage a service use a command like
 440   the following:
 441
 442     ctdb event script enable legacy 50.samba
 443
 444 * Notification scripts have moved to the scripts/notification
 445   subdirectory of the configuration directory
 446
 447   Notification scripts must now end with a &quot;.script&quot; suffix.
 448
 449 * Support for setting CTDB_DBDIR=tmpfs has been removed
 450
 451   This feature has not been implemented in the new configuration
 452   system.  If this is desired then a tmpfs filesystem should be
 453   manually mounted on the directory pointed to by the &quot;volatile
 454   database directory&quot; option.  See ctdb.conf(5) for more details.
 455
 456 * The following tunable options are now ctdb.conf options:
 457
 458     DisabledIPFailover    failover -&gt; disabled
 459     TDBMutexEnabled       database -&gt; tdb mutexes
 460
 461 * Support for the NoIPHostOnAllDisabled tunable has been removed
 462
 463   If all nodes are unhealthy or disabled then CTDB will not host
 464   public IP addresses.  That is, CTDB now behaves as if
 465   NoIPHostOnAllDisabled were set to 1.
 466
 467 * The onnode command&apos;s CTDB_NODES_FILE environment variable has been
 468   removed
 469
 470   The -f option can still be used to specify an alternate node file.
 471
 472 * The 10.external event script has been removed
 473
 474 * The CTDB_SHUTDOWN_TIMEOUT configuration variable has been removed
 475
 476   As with other daemons, if ctdbd does not shut down when requested
 477   then manual intervention is required.  There is no safe way of
 478   automatically killing ctdbd after a failed shutdown.
 479
 480 * CTDB_SUPPRESS_COREFILE and CTDB_MAX_OPEN_FILES configuration
 481   variable have been removed
 482
 483   These should be setup in the systemd unit/system file or, for SYSV
 484   init, in the distribution-specific configuration file for the ctdb
 485   service.
 486
 487 * CTDB_PARTIALLY_ONLINE_INTERFACES incompatibility no longer enforced
 488
 489   11.natgw and 91.lvs will no longer fail if
 490   CTDB_PARTIALLY_ONLINE_INTERFACES=yes.  The incompatibility is,
 491   however, well documented.  This option will be removed in future and
 492   replaced by sensible behaviour where public IP addresses simply
 493   switch interfaces or become unavailable when interfaces are down.
 494
 495 * Configuration file /etc/ctdb/sysconfig/ctdb is no longer supported
 496
 497 GPO Improvements
 498 ----------------
 499
 500 The &apos;samba_gpoupdate&apos; command (used in applying Group Policies to the
 501 Samba machine itself) has been renamed to &quot;samba_gpupdate&quot; and had the
 502 syntax changed to better match the same tool on Windows.
 503
 504
 505 REMOVED FEATURES
 506 ================
 507
 508 %
 509
 510 smb.conf changes
 511 ================
 512
 513 As the most popular Samba install platforms (Linux and FreeBSD) both
 514 support extended attributes by default, the parameters &quot;map readonly&quot;,
 515 &quot;store dos attributes&quot; and &quot;ea support&quot; have had their defaults changed
 516 to allow better Windows fileserver compatibility in a default install.
 517
 518   Parameter Name                     Description             Default
 519   --------------                     -----------             -------
 520   map readonly                       Default changed              no
 521   store dos attributes               Default changed             yes
 522   ea support                         Default changed             yes
 523   full_audit:success                 Default changed            none
 524   full_audit:failure                 Default changed            none
 525
 526 VFS interface changes
 527 =====================
 528
 529 The VFS ABI interface version has changed to 39. Function changes
 530 are:
 531
 532 SMB_VFS_FSYNC: Removed: Only async versions are used.
 533 SMB_VFS_READ: Removed: Only PREAD or async versions are used.
 534 SMB_VFS_WRITE: Removed: Only PWRITE or async versions are used.
 535 SMB_VFS_CHMOD_ACL: Removed: Only CHMOD is used.
 536 SMB_VFS_FCHMOD_ACL: Removed: Only FCHMOD is used.
 537
 538 Any external VFS modules will need to be updated to match these
 539 changes in order to work with 4.9.x.
 540
 541 CHANGES SINCE 4.9.0rc5
 542 ======================
 543
 544 o  Bj&ouml;rn Baumbach &lt;bb@sernet.de&gt;
 545    * BUG 13605: samba_dnsupdate: Honor &apos;dns zone scavenging&apos; option, only
 546      update if needed.
 547
 548 o  Andreas Schneider &lt;asn@samba.org&gt;
 549    * BUG 13606: wafsamba: Fix &apos;make -j&lt;jobs&gt;&apos;.
 550 o
 551 CHANGES SINCE 4.9.0rc4
 552 ======================
 553
 554 o  Jeremy Allison &lt;jra@samba.org&gt;
 555    * BUG 13565: s3: VFS: vfs_full_audit: Ensure smb_fname_str_do_log() only
 556      returns absolute pathnames.
 557
 558 o  Paulo Alcantara &lt;paulo@paulo.ac&gt;
 559    * BUG 13578: s3: util: Do not take over stderr when there is no log file.
 560
 561 o  Ralph Boehme &lt;slow@samba.org&gt;
 562    * BUG 13549: Durable Reconnect fails because cookie.allow_reconnect is not
 563      set.
 564
 565 o  Alexander Bokovoy &lt;ab@samba.org&gt;
 566    * BUG 13539: krb5-samba: Interdomain trust uses different salt principal.
 567
 568 o  Volker Lendecke &lt;vl@samba.org&gt;
 569    * BUG 13441: vfs_fruit: Don&apos;t unlink the main file.
 570    * BUG 13602: smbd: Fix a memleak in async search ask sharemode.
 571
 572 o  Stefan Metzmacher &lt;metze@samba.org&gt;
 573    * BUG 11517: Fix Samba GPO issue when Trust is enabled.
 574    * BUG 13539: samba-tool: Add &quot;virtualKerberosSalt&quot; attribute to
 575      &apos;user getpassword/syncpasswords&apos;.
 576
 577 o  Martin Schwenke &lt;martin@meltin.net&gt;
 578    * BUG 13589: Fix CTDB configuration issues.
 579    * BUG 13592: ctdbd logs an error until it can successfully connect to
 580      eventd.
 581
 582
 583 CHANGES SINCE 4.9.0rc3
 584 ======================
 585
 586 o  Jeremy Allison &lt;jra@samba.org&gt;
 587    * BUG 13585: s3: smbd: Ensure get_real_filename() copes with empty
 588      pathnames.
 589
 590 o  Tim Beale &lt;timbeale@catalyst.net.nz&gt;
 591    * BUG 13566: samba domain backup online/rename commands force user to specify
 592      password on CLI.
 593
 594 o  Alexander Bokovoy &lt;ab@samba.org&gt;
 595    * BUG 13579: wafsamba/samba_abi: Always hide ABI symbols which must be
 596      local.
 597
 598 o  Volker Lendecke &lt;vl@samba.org&gt;
 599    * BUG 13584: Fix a panic if fruit_access_check detects a locking conflict.
 600
 601 o  Andreas Schneider &lt;asn@samba.org&gt;
 602    * BUG 13567: Fix memory and resource leaks.
 603    * BUG 13580: python: Fix print in dns_invalid.py.
 604
 605 o  Martin Schwenke &lt;martin@meltin.net&gt;
 606    * BUG 13588: Aliasing issue causes incorrect IPv6 checksum.
 607    * BUG 13589: Fix CTDB configuration issues.
 608
 609 o  Ralph Wuerthner &lt;ralph.wuerthner@de.ibm.com&gt;
 610    * BUG 13568: s3: vfs: time_audit: fix handling of token_blob in
 611      smb_time_audit_offload_read_recv().
 612
 613
 614 CHANGES SINCE 4.9.0rc2
 615 ======================
 616
 617 o  Jeremy Allison &lt;jra@samba.org&gt;
 618    * BUG 13453: CVE-2018-10858: libsmb: Harden smbc_readdir_internal() against
 619      returns from malicious servers.
 620
 621 o  Andrew Bartlett &lt;abartlet@samba.org&gt;
 622    * BUG 13374: CVE-2018-1140: ldbsearch &apos;(distinguishedName=abc)&apos; and DNS query
 623      with escapes crashes, ldb: Release LDB 1.3.5 for CVE-2018-1140
 624    * BUG 13552: CVE-2018-10918: cracknames: Fix DoS (NULL pointer de-ref) when
 625      not servicePrincipalName is set on a user.
 626
 627 o  Tim Beale &lt;timbeale@catalyst.net.nz&gt;
 628    * BUG 13434: CVE-2018-10919: acl_read: Fix unauthorized attribute access via
 629      searches.
 630
 631 o  Samuel Cabrero &lt;scabrero@suse.de&gt;
 632    * BUG 13540: ctdb_mutex_ceph_rados_helper: Set SIGINT signal handler.
 633
 634 o  G&uuml;nther Deschner &lt;gd@samba.org&gt;
 635    * BUG 13360: CVE-2018-1139 libcli/auth: Do not allow ntlmv1 over SMB1 when it
 636      is disabled via &quot;ntlm auth&quot;.
 637    * BUG 13529: s3-tldap: do not install test_tldap.
 638
 639 o  David Disseldorp &lt;ddiss@samba.org&gt;
 640    * BUG 13540: ctdb_mutex_ceph_rados_helper: Fix deadlock via lock renewals.
 641
 642 o  Andrej Gessel &lt;Andrej.Gessel@janztec.com&gt;
 643    * BUG 13374: CVE-2018-1140 Add NULL check for ldb_dn_get_casefold() in
 644      ltdb_index_dn_attr().
 645
 646 o  Amitay Isaacs &lt;amitay@gmail.com&gt;
 647    * BUG 13554: ctdb-eventd: Fix CID 1438155.
 648
 649 o  Volker Lendecke &lt;vl@samba.org&gt;
 650    * BUG 13553: Fix CIDs 1438243, (Unchecked return value) 1438244
 651      (Unsigned compared against 0), 1438245 (Dereference before null check) and
 652      1438246 (Unchecked return value).
 653    * BUG 13554: ctdb: Fix a cut&amp;paste error.
 654
 655 o  Oleksandr Natalenko &lt;oleksandr@redhat.com&gt;
 656    * BUG 13559: systemd: Only start smb when network interfaces are up.
 657
 658 o  Noel Power &lt;noel.power@suse.com&gt;
 659    * BUG 13553: Fix quotas don&apos;t work with SMB2.
 660    * BUG 13563: s3/smbd: Ensure quota code is only called when quota support
 661      detected.
 662
 663 o  Anoop C S &lt;anoopcs@redhat.com&gt;
 664    * BUG 13204: s3/libsmb: Explicitly set delete_on_close token for rmdir.
 665
 666 o  Andreas Schneider &lt;asn@samba.org&gt;
 667    * BUG 13561: s3:waf: Install eventlogadm to /usr/sbin.
 668
 669 o  Justin Stephenson &lt;jstephen@redhat.com&gt;
 670    * BUG 13562: Shorten description in vfs_linux_xfs_sgid manual.
 671
 672
 673 CHANGES SINCE 4.9.0rc1
 674 ======================
 675
 676 o  Jeremy Allison &lt;jra@samba.org&gt;
 677    * BUG 13537: s3: smbd:  Using &quot;sendfile = yes&quot; with SMB2 can cause CPU spin.
 678
 679 o  Ralph Boehme &lt;slow@samba.org&gt;
 680    * BUG 13535: s3: smbd: Fix path check in
 681      smbd_smb2_create_durable_lease_check().
 682
 683 o  Alexander Bokovoy &lt;ab@samba.org&gt;
 684    * BUG 13538: samba-tool trust: Support discovery via netr_GetDcName.
 685    * BUG 13542: s4-dsdb: Only build dsdb Python modules for AD DC.
 686
 687 o  Amitay Isaacs &lt;amitay@gmail.com&gt;
 688    * BUG 13520: Fix portability issues on freebsd.
 689
 690 o  Gary Lockyer &lt;gary@catalyst.net.nz&gt;
 691    * BUG 13536: DNS wildcard search does not handle multiple labels correctly.
 692
 693 o  Stefan Metzmacher &lt;metze@samba.org&gt;
 694    * BUG 13308: samba-tool domain trust: Fix trust compatibility to Windows
 695      Server 1709 and FreeIPA.
 696
 697 o  Martin Schwenke &lt;martin@meltin.net&gt;
 698    * BUG 13520: Fix portability issues on freebsd.
 699    * BUG 13545: ctdb-protocol: Fix CTDB compilation issues.
 700    * BUG 13546: ctdb-docs: Replace obsolete reference to CTDB_DEBUG_HUNG_SCRIPT
 701      option.
 702    * BUG 13550: ctdb-doc: Provide an example script for migrating old
 703      configuration.
 704    * BUG 13551: ctdb-event: Implement event tool &quot;script list&quot; command.
 705
 706
 707 KNOWN ISSUES
 708 ============
 709
 710 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.9#Release_blocking_bugs
 711
 712
 713 </pre>
 714 </p>
 715 </body>
 716 </html>