NEWS

   1 Changes in release 0.9
   2
   3  * Alias support for inital ticket requests
   4
   5  * Add symbol versioning to hcrypto and heimntlm
   6
   7 Changes in release 0.8.1
   8
   9  * Make ASN.1 library less paranoid to with regard to NUL in string to
  10    make it inter-operate with MIT Kerberos again.
  11
  12  * Make GSS-API library work again when using gss_acquire_cred
  13
  14  * Add symbol versioning to libgssapi when using GNU ld.
  15
  16  * Fix memory leaks
  17
  18  * Bugs fixes
  19
  20 Changes in release 0.8
  21
  22  * PK-INIT support.
  23
  24  * HDB extensions support, used by PK-INIT.
  25
  26  * New ASN.1 compiler.
  27
  28  * GSS-API mechglue from FreeBSD.
  29
  30  * Updated SPNEGO to support RFC4178.
  31
  32  * Support for Cryptosystem Negotiation Extension (RFC 4537).
  33
  34  * A new X.509 library (hx509) and related crypto functions.
  35
  36  * A new ntlm library (heimntlm) and related crypto functions.
  37
  38  * Updated the built-in crypto library with bignum support using
  39    imath, support for RSA and DH and renamed it to libhcrypto.
  40
  41  * Subsystem in the KDC, digest, that will perform the digest
  42    operation in the KDC, currently supports: CHAP, MS-CHAP-V2, SASL
  43    DIGEST-MD5 NTLMv1 and NTLMv2.
  44
  45  * KDC will return the "response too big" error to force TCP retries
  46    for large (default 1400 bytes) UDP replies.  This is common for
  47    PK-INIT requests.
  48
  49  * Libkafs defaults to use 2b tokens.
  50
  51  * Default to use the API cache on Mac OS X.
  52
  53  * krb5_kuserok() also checks ~/.k5login.d directory for acl files,
  54    see manpage for krb5_kuserok for description.
  55
  56  * Many, many, other update to code and info manual and manual pages.
  57
  58  * Bug fixes
  59
  60 Changes in release 0.7.2
  61
  62 * Fix security problem in rshd that enable an attacker to overwrite
  63   and change ownership of any file that root could write.
  64
  65 * Fix a DOS in telnetd. The attacker could force the server to crash
  66   in a NULL de-reference before the user logged in, resulting in inetd
  67   turning telnetd off because it forked too fast.
  68
  69 * Make gss_acquire_cred(GSS_C_ACCEPT) check that the requested name
  70   exists in the keytab before returning success. This allows servers
  71   to check if its even possible to use GSSAPI.
  72
  73 * Fix receiving end of token delegation for GSS-API. It still wrongly
  74   uses subkey for sending for compatibility reasons, this will change
  75   in 0.8.
  76
  77 * telnetd, login and rshd are now more verbose in logging failed and
  78   successful logins.
  79
  80 * Bug fixes
  81
  82 Changes in release 0.7.1
  83
  84 * Bug fixes
  85
  86 Changes in release 0.7
  87
  88  * Support for KCM, a process based credential cache
  89
  90  * Support CCAPI credential cache
  91
  92  * SPNEGO support
  93
  94  * AES (and the gssapi conterpart, CFX) support
  95
  96  * Adding new and improve old documentation
  97
  98  * Bug fixes
  99
 100 Changes in release 0.6.6
 101
 102 * Fix security problem in rshd that enable an attacker to overwrite
 103   and change ownership of any file that root could write.
 104
 105 * Fix a DOS in telnetd. The attacker could force the server to crash
 106   in a NULL de-reference before the user logged in, resulting in inetd
 107   turning telnetd off because it forked too fast.
 108
 109 Changes in release 0.6.5
 110
 111  * fix vulnerabilities in telnetd
 112
 113  * unbreak Kerberos 4 and kaserver
 114
 115 Changes in release 0.6.4
 116
 117  * fix vulnerabilities in telnet
 118
 119  * rshd: encryption without a separate error socket should now work
 120
 121  * telnet now uses appdefaults for the encrypt and forward/forwardable
 122    settings
 123
 124  * bug fixes
 125
 126 Changes in release 0.6.3
 127
 128  * fix vulnerabilities in ftpd
 129
 130  * support for linux AFS /proc "syscalls"
 131
 132  * support for RFC3244 (Windows 2000 Kerberos Change/Set Password) in
 133    kpasswdd
 134
 135  * fix possible KDC denial of service
 136
 137  * bug fixes
 138
 139 Changes in release 0.6.2
 140
 141  * Fix possible buffer overrun in v4 kadmin (which now defaults to off)
 142
 143 Changes in release 0.6.1
 144
 145  * Fixed ARCFOUR suppport
 146
 147  * Cross realm vulnerability
 148
 149  * kdc: fix denial of service attack
 150
 151  * kdc: stop clients from renewing tickets into the future
 152
 153  * bug fixes
 154
 155 Changes in release 0.6
 156
 157 * The DES3 GSS-API mechanism has been changed to inter-operate with
 158   other GSSAPI implementations. See man page for gssapi(3) how to turn
 159   on generation of correct MIC messages. Next major release of heimdal
 160   will generate correct MIC by default.
 161
 162 * More complete GSS-API support
 163
 164 * Better AFS support: kdc (524) supports 2b; 524 in kdc and AFS
 165   support in applications no longer requires Kerberos 4 libs
 166
 167 * Kerberos 4 support in kdc defaults to turned off (includes ka and 524)
 168
 169 * other bug fixes
 170
 171 Changes in release 0.5.2
 172
 173  * kdc: add option for disabling v4 cross-realm (defaults to off)
 174
 175  * bug fixes
 176
 177 Changes in release 0.5.1
 178
 179  * kadmind: fix remote exploit
 180
 181  * kadmind: add option to disable kerberos 4
 182
 183  * kdc: make sure kaserver token life is positive
 184
 185  * telnet: use the session key if there is no subkey
 186
 187  * fix EPSV parsing in ftp
 188
 189  * other bug fixes
 190
 191 Changes in release 0.5
 192
 193  * add --detach option to kdc
 194
 195  * allow setting forward and forwardable option in telnet from
 196    .telnetrc, with override from command line
 197
 198  * accept addresses with or without ports in krb5_rd_cred
 199
 200  * make it work with modern openssl
 201
 202  * use our own string2key function even with openssl (that handles weak
 203    keys incorrectly)
 204
 205  * more system-specific requirements in login
 206
 207  * do not use getlogin() to determine root in su
 208
 209  * telnet: abort if telnetd does not support encryption
 210
 211  * update autoconf to 2.53
 212
 213  * update config.guess, config.sub
 214
 215  * other bug fixes
 216
 217 Changes in release 0.4e
 218
 219  * improve libcrypto and database autoconf tests
 220
 221  * do not care about salting of server principals when serving v4 requests
 222
 223  * some improvements to gssapi library
 224
 225  * test for existing compile_et/libcom_err
 226
 227  * portability fixes
 228
 229  * bug fixes
 230
 231 Changes in release 0.4d
 232
 233  * fix some problems when using libcrypto from openssl
 234
 235  * handle /dev/ptmx `unix98' ptys on Linux
 236
 237  * add some forgotten man pages
 238
 239  * rsh: clean-up and add man page
 240
 241  * fix -A and -a in builtin-ls in tpd
 242
 243  * fix building problem on Irix
 244
 245  * make `ktutil get' more efficient
 246
 247  * bug fixes
 248
 249 Changes in release 0.4c
 250
 251  * fix buffer overrun in telnetd
 252
 253  * repair some of the v4 fallback code in kinit
 254
 255  * add more shared library dependencies
 256
 257  * simplify and fix hprop handling of v4 databases
 258
 259  * fix some building problems (osf's sia and osfc2 login)
 260
 261  * bug fixes
 262
 263 Changes in release 0.4b
 264
 265  * update the shared library version numbers correctly
 266
 267 Changes in release 0.4a
 268
 269  * corrected key used for checksum in mk_safe, unfortunately this
 270    makes it backwards incompatible
 271
 272  * update to autoconf 2.50, libtool 1.4
 273
 274  * re-write dns/config lookups (krb5_krbhst API)
 275
 276  * make order of using subkeys consistent
 277
 278  * add man page links
 279
 280  * add more man pages
 281
 282  * remove rfc2052 support, now only rfc2782 is supported
 283
 284  * always build with kaserver protocol support in the KDC (assuming
 285    KRB4 is enabled) and support for reading kaserver databases in
 286    hprop
 287
 288 Changes in release 0.3f
 289
 290  * change default keytab to ANY:FILE:/etc/krb5.keytab,krb4:/etc/srvtab,
 291    the new keytab type that tries both of these in order (SRVTAB is
 292    also an alias for krb4:)
 293
 294  * improve error reporting and error handling (error messages should
 295    be more detailed and more useful)
 296
 297  * improve building with openssl
 298
 299  * add kadmin -K, rcp -F
 300
 301  * fix two incorrect weak DES keys
 302
 303  * fix building of kaserver compat in KDC
 304
 305  * the API is closer to what MIT krb5 is using
 306
 307  * more compatible with windows 2000
 308
 309  * removed some memory leaks
 310
 311  * bug fixes
 312
 313 Changes in release 0.3e
 314
 315  * rcp program included
 316
 317  * fix buffer overrun in ftpd
 318
 319  * handle omitted sequence numbers as zeroes to handle MIT krb5 that
 320    cannot generate zero sequence numbers
 321
 322  * handle v4 /.k files better
 323
 324  * configure/portability fixes
 325
 326  * fixes in parsing of options to kadmin (sub-)commands
 327
 328  * handle errors in kadmin load better
 329
 330  * bug fixes
 331
 332 Changes in release 0.3d
 333
 334  * add krb5-config
 335
 336  * fix a bug in 3des gss-api mechanism, making it compatible with the
 337    specification and the MIT implementation
 338
 339  * make telnetd only allow a specific list of environment variables to
 340    stop it from setting `sensitive' variables
 341
 342  * try to use an existing libdes
 343
 344  * lib/krb5, kdc: use correct usage type for ap-req messages.  This
 345    should improve compatability with MIT krb5 when using 3DES
 346    encryption types
 347
 348  * kdc: fix memory allocation problem
 349
 350  * update config.guess and config.sub
 351
 352  * lib/roken: more stuff implemented
 353
 354  * bug fixes and portability enhancements
 355
 356 Changes in release 0.3c
 357
 358  * lib/krb5: memory caches now support the resolve operation
 359
 360  * appl/login: set PATH to some sane default
 361
 362  * kadmind: handle several realms
 363
 364  * bug fixes (including memory leaks)
 365
 366 Changes in release 0.3b
 367
 368  * kdc: prefer default-salted keys on v5 requests
 369
 370  * kdc: lowercase hostnames in v4 mode
 371
 372  * hprop: handle more types of MIT salts
 373
 374  * lib/krb5: fix memory leak
 375
 376  * bug fixes
 377
 378 Changes in release 0.3a:
 379
 380  * implement arcfour-hmac-md5 to interoperate with W2K
 381
 382  * modularise the handling of the master key, and allow for other
 383    encryption types. This makes it easier to import a database from
 384    some other source without having to re-encrypt all keys.
 385
 386  * allow for better control over which encryption types are created
 387
 388  * make kinit fallback to v4 if given a v4 KDC
 389
 390  * make klist work better with v4 and v5, and add some more MIT
 391    compatibility options
 392
 393  * make the kdc listen on the krb524 (4444) port for compatibility
 394    with MIT krb5 clients
 395
 396  * implement more DCE/DFS support, enabled with --enable-dce, see
 397    lib/kdfs and appl/dceutils
 398
 399  * make the sequence numbers work correctly
 400
 401  * bug fixes
 402
 403 Changes in release 0.2t:
 404
 405  * bug fixes
 406
 407 Changes in release 0.2s:
 408
 409  * add OpenLDAP support in hdb
 410
 411  * login will get v4 tickets when it receives forwarded tickets
 412
 413  * xnlock supports both v5 and v4
 414
 415  * repair source routing for telnet
 416
 417  * fix building problems with krb4 (krb_mk_req)
 418
 419  * bug fixes
 420
 421 Changes in release 0.2r:
 422
 423  * fix realloc memory corruption bug in kdc
 424
 425  * `add --key' and `cpw --key' in kadmin
 426
 427  * klist supports listing v4 tickets
 428
 429  * update config.guess and config.sub
 430
 431  * make v4 -> v5 principal name conversion more robust
 432
 433  * support for anonymous tickets
 434
 435  * new man-pages
 436
 437  * telnetd: do not negotiate KERBEROS5 authentication if there's no keytab.
 438
 439  * use and set expiration and not password expiration when dumping
 440    to/from ka server databases / krb4 databases
 441
 442  * make the code happier with 64-bit time_t
 443
 444  * follow RFC2782 and by default do not look for non-underscore SRV names
 445
 446 Changes in release 0.2q:
 447
 448  * bug fix in tcp-handling in kdc
 449
 450  * bug fix in expand_hostname
 451
 452 Changes in release 0.2p:
 453
 454  * bug fix in `kadmin load/merge'
 455
 456  * bug fix in krb5_parse_address
 457
 458 Changes in release 0.2o:
 459
 460  * gss_{import,export}_sec_context added to libgssapi
 461
 462  * new option --addresses to kdc (for listening on an explicit set of
 463    addresses)
 464
 465  * bug fixes in the krb4 and kaserver emulation part of the kdc
 466
 467  * other bug fixes
 468
 469 Changes in release 0.2n:
 470
 471  * more robust parsing of dump files in kadmin
 472  * changed default timestamp format for log messages to extended ISO
 473    8601 format (Y-M-DTH:M:S)
 474  * changed md4/md5/sha1 APIes to be de-facto `standard'
 475  * always make hostname into lower-case before creating principal
 476  * small bits of more MIT-compatability
 477  * bug fixes
 478
 479 Changes in release 0.2m:
 480
 481  * handle glibc's getaddrinfo() that returns several ai_canonname
 482
 483  * new endian test
 484
 485  * man pages fixes
 486
 487 Changes in release 0.2l:
 488
 489  * bug fixes
 490
 491 Changes in release 0.2k:
 492
 493  * better IPv6 test
 494
 495  * make struct sockaddr_storage in roken work better on alphas
 496
 497  * some missing [hn]to[hn]s fixed.
 498
 499  * allow users to change their own passwords with kadmin (with initial
 500    tickets)
 501
 502  * fix stupid bug in parsing KDC specification
 503
 504  * add `ktutil change' and `ktutil purge'
 505
 506 Changes in release 0.2j:
 507
 508  * builds on Irix
 509
 510  * ftpd works in passive mode
 511
 512  * should build on cygwin
 513
 514  * work around broken IPv6-code on OpenBSD 2.6, also add configure
 515    option --disable-ipv6
 516
 517 Changes in release 0.2i:
 518
 519  * use getaddrinfo in the missing places.
 520
 521  * fix SRV lookup for admin server
 522
 523  * use get{addr,name}info everywhere.  and implement it in terms of
 524    getipnodeby{name,addr} (which uses gethostbyname{,2} and
 525    gethostbyaddr)
 526
 527 Changes in release 0.2h:
 528
 529  * fix typo in kx (now compiles)
 530
 531 Changes in release 0.2g:
 532
 533  * lots of bug fixes:
 534    * push works
 535    * repair appl/test programs
 536    * sockaddr_storage works on solaris (alignment issues)
 537    * works better with non-roken getaddrinfo
 538    * rsh works
 539    * some non standard C constructs removed
 540
 541 Changes in release 0.2f:
 542
 543  * support SRV records for kpasswd
 544  * look for both _kerberos and krb5-realm when doing host -> realm mapping
 545
 546 Changes in release 0.2e:
 547
 548  * changed copyright notices to remove `advertising'-clause.
 549  * get{addr,name}info added to roken and used in the other code
 550    (this makes things work much better with hosts with both v4 and v6
 551     addresses, among other things)
 552  * do pre-auth for both password and key-based get_in_tkt
 553  * support for having several databases
 554  * new command `del_enctype' in kadmin
 555  * strptime (and new strftime) add to roken
 556  * more paranoia about finding libdb
 557  * bug fixes
 558
 559 Changes in release 0.2d:
 560
 561  * new configuration option [libdefaults]default_etypes_des
 562  * internal ls in ftpd builds without KRB4
 563  * kx/rsh/push/pop_debug tries v5 and v4 consistenly
 564  * build bug fixes
 565  * other bug fixes
 566
 567 Changes in release 0.2c:
 568
 569  * bug fixes (see ChangeLog's for details)
 570
 571 Changes in release 0.2b:
 572
 573  * bug fixes
 574  * actually bump shared library versions
 575
 576 Changes in release 0.2a:
 577
 578  * a new program verify_krb5_conf for checking your /etc/krb5.conf
 579  * add 3DES keys when changing password
 580  * support null keys in database
 581  * support multiple local realms
 582  * implement a keytab backend for AFS KeyFile's
 583  * implement a keytab backend for v4 srvtabs
 584  * implement `ktutil copy'
 585  * support password quality control in v4 kadmind
 586  * improvements in v4 compat kadmind
 587  * handle the case of having the correct cred in the ccache but with
 588    the wrong encryption type better
 589  * v6-ify the remaining programs.
 590  * internal ls in ftpd
 591  * rename strcpy_truncate/strcat_truncate to strlcpy/strlcat
 592  * add `ank --random-password' and `cpw --random-password' in kadmin
 593  * some programs and documentation for trying to talk to a W2K KDC
 594  * bug fixes
 595
 596 Changes in release 0.1m:
 597
 598  * support for getting default from krb5.conf for kinit/kf/rsh/telnet.
 599    From Miroslav Ruda <ruda@ics.muni.cz>
 600  * v6-ify hprop and hpropd
 601  * support numeric addresses in krb5_mk_req
 602  * shadow support in login and su. From Miroslav Ruda <ruda@ics.muni.cz>
 603  * make rsh/rshd IPv6-aware
 604  * make the gssapi sample applications better at reporting errors
 605  * lots of bug fixes
 606  * handle systems with v6-aware libc and non-v6 kernels (like Linux
 607    with glibc 2.1) better
 608  * hide failure of ERPT in ftp
 609  * lots of bug fixes
 610
 611 Changes in release 0.1l:
 612
 613  * make ftp and ftpd IPv6-aware
 614  * add inet_pton to roken
 615  * more IPv6-awareness
 616  * make mini_inetd v6 aware
 617
 618 Changes in release 0.1k:
 619
 620  * bump shared libraries versions
 621  * add roken version of inet_ntop
 622  * merge more changes to rshd
 623
 624 Changes in release 0.1j:
 625
 626  * restore back to the `old' 3DES code.  This was supposed to be done
 627    in 0.1h and 0.1i but I did a CVS screw-up.
 628  * make telnetd handle v6 connections
 629
 630 Changes in release 0.1i:
 631
 632  * start using `struct sockaddr_storage' which simplifies the code
 633    (with a fallback definition if it's not defined)
 634  * bug fixes (including in hprop and kf)
 635  * don't use mawk which seems to mishandle roken.awk
 636  * get_addrs should be able to handle v6 addresses on Linux (with the
 637    required patch to the Linux kernel -- ask within)
 638  * rshd builds with shadow passwords
 639
 640 Changes in release 0.1h:
 641
 642  * kf: new program for forwarding credentials
 643  * portability fixes
 644  * make forwarding credentials work with MIT code
 645  * better conversion of ka database
 646  * add etc/services.append
 647  * correct `modified by' from kpasswdd
 648  * lots of bug fixes
 649
 650 Changes in release 0.1g:
 651
 652  * kgetcred: new program for explicitly obtaining tickets
 653  * configure fixes
 654  * krb5-aware kx
 655  * bug fixes
 656
 657 Changes in release 0.1f;
 658
 659  * experimental support for v4 kadmin protokoll in kadmind
 660  * bug fixes
 661
 662 Changes in release 0.1e:
 663
 664  * try to handle old DCE and MIT kdcs
 665  * support for older versions of credential cache files and keytabs
 666  * postdated tickets work
 667  * support for password quality checks in kpasswdd
 668  * new flag --enable-kaserver for kdc
 669  * renew fixes
 670  * prototype su program
 671  * updated (some) manpages
 672  * support for KDC resource records
 673  * should build with --without-krb4
 674  * bug fixes
 675
 676 Changes in release 0.1d:
 677
 678  * Support building with DB2 (uses 1.85-compat API)
 679  * Support krb5-realm.DOMAIN in DNS
 680  * new `ktutil srvcreate'
 681  * v4/kafs support in klist/kdestroy
 682  * bug fixes
 683
 684 Changes in release 0.1c:
 685
 686  * fix ASN.1 encoding of signed integers
 687  * somewhat working `ktutil get'
 688  * some documentation updates
 689  * update to Autoconf 2.13 and Automake 1.4
 690  * the usual bug fixes
 691
 692 Changes in release 0.1b:
 693
 694  * some old -> new crypto conversion utils
 695  * bug fixes
 696
 697 Changes in release 0.1a:
 698
 699  * new crypto code
 700  * more bug fixes
 701  * make sure we ask for DES keys in gssapi
 702  * support signed ints in ASN1
 703  * IPv6-bug fixes
 704
 705 Changes in release 0.0u:
 706
 707  * lots of bug fixes
 708
 709 Changes in release 0.0t:
 710
 711  * more robust parsing of krb5.conf
 712  * include net{read,write} in lib/roken
 713  * bug fixes
 714
 715 Changes in release 0.0s:
 716
 717  * kludges for parsing options to rsh
 718  * more robust parsing of krb5.conf
 719  * removed some arbitrary limits
 720  * bug fixes
 721
 722 Changes in release 0.0r:
 723
 724  * default options for some programs
 725  * bug fixes
 726
 727 Changes in release 0.0q:
 728
 729  * support for building shared libraries with libtool
 730  * bug fixes
 731
 732 Changes in release 0.0p:
 733
 734  * keytab moved to /etc/krb5.keytab
 735  * avoid false detection of IPv6 on Linux
 736  * Lots of more functionality in the gssapi-library
 737  * hprop can now read ka-server databases
 738  * bug fixes
 739
 740 Changes in release 0.0o:
 741
 742  * FTP with GSSAPI support.
 743  * Bug fixes.
 744
 745 Changes in release 0.0n:
 746
 747  * Incremental database propagation.
 748  * Somewhat improved kadmin ui; the stuff in admin is now removed.
 749  * Some support for using enctypes instead of keytypes.
 750  * Lots of other improvement and bug fixes, see ChangeLog for details.