NEWS

   1 Changes in release 0.7
   2
   3  * SPENGO support
   4
   5  * AES (and the gssapi conterpart, CFX) support
   6
   7  * Bug fixes
   8
   9 Changes in release 0.6.1
  10
  11  * Fixed ARCFOUR suppport
  12
  13  * Cross realm vulnerability
  14
  15  * kdc: fix denial of service attack
  16
  17  * kdc: stop clients from renewing tickets into the future
  18
  19  * bug fixes
  20
  21 Changes in release 0.6
  22
  23 * The DES3 GSS-API mechanism has been changed to inter-operate with
  24   other GSSAPI implementations. See man page for gssapi(3) how to turn
  25   on generation of correct MIC messages. Next major release of heimdal
  26   will generate correct MIC by default.
  27
  28 * More complete GSS-API support
  29
  30 * Better AFS support: kdc (524) supports 2b; 524 in kdc and AFS
  31   support in applications no longer requires Kerberos 4 libs
  32
  33 * Kerberos 4 support in kdc defaults to turned off (includes ka and 524)
  34
  35 * other bug fixes
  36
  37 Changes in release 0.5.2
  38
  39  * kdc: add option for disabling v4 cross-realm (defaults to off)
  40
  41  * bug fixes
  42
  43 Changes in release 0.5.1
  44
  45  * kadmind: fix remote exploit
  46
  47  * kadmind: add option to disable kerberos 4
  48
  49  * kdc: make sure kaserver token life is positive
  50
  51  * telnet: use the session key if there is no subkey
  52
  53  * fix EPSV parsing in ftp
  54
  55  * other bug fixes
  56
  57 Changes in release 0.5
  58
  59  * add --detach option to kdc
  60
  61  * allow setting forward and forwardable option in telnet from
  62    .telnetrc, with override from command line
  63
  64  * accept addresses with or without ports in krb5_rd_cred
  65
  66  * make it work with modern openssl
  67
  68  * use our own string2key function even with openssl (that handles weak
  69    keys incorrectly)
  70
  71  * more system-specific requirements in login
  72
  73  * do not use getlogin() to determine root in su
  74
  75  * telnet: abort if telnetd does not support encryption
  76
  77  * update autoconf to 2.53
  78
  79  * update config.guess, config.sub
  80
  81  * other bug fixes
  82
  83 Changes in release 0.4e
  84
  85  * improve libcrypto and database autoconf tests
  86
  87  * do not care about salting of server principals when serving v4 requests
  88
  89  * some improvements to gssapi library
  90
  91  * test for existing compile_et/libcom_err
  92
  93  * portability fixes
  94
  95  * bug fixes
  96
  97 Changes in release 0.4d
  98
  99  * fix some problems when using libcrypto from openssl
 100
 101  * handle /dev/ptmx `unix98' ptys on Linux
 102
 103  * add some forgotten man pages
 104
 105  * rsh: clean-up and add man page
 106
 107  * fix -A and -a in builtin-ls in tpd
 108
 109  * fix building problem on Irix
 110
 111  * make `ktutil get' more efficient
 112
 113  * bug fixes
 114
 115 Changes in release 0.4c
 116
 117  * fix buffer overrun in telnetd
 118
 119  * repair some of the v4 fallback code in kinit
 120
 121  * add more shared library dependencies
 122
 123  * simplify and fix hprop handling of v4 databases
 124
 125  * fix some building problems (osf's sia and osfc2 login)
 126
 127  * bug fixes
 128
 129 Changes in release 0.4b
 130
 131  * update the shared library version numbers correctly
 132
 133 Changes in release 0.4a
 134
 135  * corrected key used for checksum in mk_safe, unfortunately this
 136    makes it backwards incompatible
 137
 138  * update to autoconf 2.50, libtool 1.4
 139
 140  * re-write dns/config lookups (krb5_krbhst API)
 141
 142  * make order of using subkeys consistent
 143
 144  * add man page links
 145
 146  * add more man pages
 147
 148  * remove rfc2052 support, now only rfc2782 is supported
 149
 150  * always build with kaserver protocol support in the KDC (assuming
 151    KRB4 is enabled) and support for reading kaserver databases in
 152    hprop
 153
 154 Changes in release 0.3f
 155
 156  * change default keytab to ANY:FILE:/etc/krb5.keytab,krb4:/etc/srvtab,
 157    the new keytab type that tries both of these in order (SRVTAB is
 158    also an alias for krb4:)
 159
 160  * improve error reporting and error handling (error messages should
 161    be more detailed and more useful)
 162
 163  * improve building with openssl
 164
 165  * add kadmin -K, rcp -F
 166
 167  * fix two incorrect weak DES keys
 168
 169  * fix building of kaserver compat in KDC
 170
 171  * the API is closer to what MIT krb5 is using
 172
 173  * more compatible with windows 2000
 174
 175  * removed some memory leaks
 176
 177  * bug fixes
 178
 179 Changes in release 0.3e
 180
 181  * rcp program included
 182
 183  * fix buffer overrun in ftpd
 184
 185  * handle omitted sequence numbers as zeroes to handle MIT krb5 that
 186    cannot generate zero sequence numbers
 187
 188  * handle v4 /.k files better
 189
 190  * configure/portability fixes
 191
 192  * fixes in parsing of options to kadmin (sub-)commands
 193
 194  * handle errors in kadmin load better
 195
 196  * bug fixes
 197
 198 Changes in release 0.3d
 199
 200  * add krb5-config
 201
 202  * fix a bug in 3des gss-api mechanism, making it compatible with the
 203    specification and the MIT implementation
 204
 205  * make telnetd only allow a specific list of environment variables to
 206    stop it from setting `sensitive' variables
 207
 208  * try to use an existing libdes
 209
 210  * lib/krb5, kdc: use correct usage type for ap-req messages.  This
 211    should improve compatability with MIT krb5 when using 3DES
 212    encryption types
 213
 214  * kdc: fix memory allocation problem
 215
 216  * update config.guess and config.sub
 217
 218  * lib/roken: more stuff implemented
 219
 220  * bug fixes and portability enhancements
 221
 222 Changes in release 0.3c
 223
 224  * lib/krb5: memory caches now support the resolve operation
 225
 226  * appl/login: set PATH to some sane default
 227
 228  * kadmind: handle several realms
 229
 230  * bug fixes (including memory leaks)
 231
 232 Changes in release 0.3b
 233
 234  * kdc: prefer default-salted keys on v5 requests
 235
 236  * kdc: lowercase hostnames in v4 mode
 237
 238  * hprop: handle more types of MIT salts
 239
 240  * lib/krb5: fix memory leak
 241
 242  * bug fixes
 243
 244 Changes in release 0.3a:
 245
 246  * implement arcfour-hmac-md5 to interoperate with W2K
 247
 248  * modularise the handling of the master key, and allow for other
 249    encryption types. This makes it easier to import a database from
 250    some other source without having to re-encrypt all keys.
 251
 252  * allow for better control over which encryption types are created
 253
 254  * make kinit fallback to v4 if given a v4 KDC
 255
 256  * make klist work better with v4 and v5, and add some more MIT
 257    compatibility options
 258
 259  * make the kdc listen on the krb524 (4444) port for compatibility
 260    with MIT krb5 clients
 261
 262  * implement more DCE/DFS support, enabled with --enable-dce, see
 263    lib/kdfs and appl/dceutils
 264
 265  * make the sequence numbers work correctly
 266
 267  * bug fixes
 268
 269 Changes in release 0.2t:
 270
 271  * bug fixes
 272
 273 Changes in release 0.2s:
 274
 275  * add OpenLDAP support in hdb
 276
 277  * login will get v4 tickets when it receives forwarded tickets
 278
 279  * xnlock supports both v5 and v4
 280
 281  * repair source routing for telnet
 282
 283  * fix building problems with krb4 (krb_mk_req)
 284
 285  * bug fixes
 286
 287 Changes in release 0.2r:
 288
 289  * fix realloc memory corruption bug in kdc
 290
 291  * `add --key' and `cpw --key' in kadmin
 292
 293  * klist supports listing v4 tickets
 294
 295  * update config.guess and config.sub
 296
 297  * make v4 -> v5 principal name conversion more robust
 298
 299  * support for anonymous tickets
 300
 301  * new man-pages
 302
 303  * telnetd: do not negotiate KERBEROS5 authentication if there's no keytab.
 304
 305  * use and set expiration and not password expiration when dumping
 306    to/from ka server databases / krb4 databases
 307
 308  * make the code happier with 64-bit time_t
 309
 310  * follow RFC2782 and by default do not look for non-underscore SRV names
 311
 312 Changes in release 0.2q:
 313
 314  * bug fix in tcp-handling in kdc
 315
 316  * bug fix in expand_hostname
 317
 318 Changes in release 0.2p:
 319
 320  * bug fix in `kadmin load/merge'
 321
 322  * bug fix in krb5_parse_address
 323
 324 Changes in release 0.2o:
 325
 326  * gss_{import,export}_sec_context added to libgssapi
 327
 328  * new option --addresses to kdc (for listening on an explicit set of
 329    addresses)
 330
 331  * bug fixes in the krb4 and kaserver emulation part of the kdc
 332
 333  * other bug fixes
 334
 335 Changes in release 0.2n:
 336
 337  * more robust parsing of dump files in kadmin
 338  * changed default timestamp format for log messages to extended ISO
 339    8601 format (Y-M-DTH:M:S)
 340  * changed md4/md5/sha1 APIes to be de-facto `standard'
 341  * always make hostname into lower-case before creating principal
 342  * small bits of more MIT-compatability
 343  * bug fixes
 344
 345 Changes in release 0.2m:
 346
 347  * handle glibc's getaddrinfo() that returns several ai_canonname
 348
 349  * new endian test
 350
 351  * man pages fixes
 352
 353 Changes in release 0.2l:
 354
 355  * bug fixes
 356
 357 Changes in release 0.2k:
 358
 359  * better IPv6 test
 360
 361  * make struct sockaddr_storage in roken work better on alphas
 362
 363  * some missing [hn]to[hn]s fixed.
 364
 365  * allow users to change their own passwords with kadmin (with initial
 366    tickets)
 367
 368  * fix stupid bug in parsing KDC specification
 369
 370  * add `ktutil change' and `ktutil purge'
 371
 372 Changes in release 0.2j:
 373
 374  * builds on Irix
 375
 376  * ftpd works in passive mode
 377
 378  * should build on cygwin
 379
 380  * work around broken IPv6-code on OpenBSD 2.6, also add configure
 381    option --disable-ipv6
 382
 383 Changes in release 0.2i:
 384
 385  * use getaddrinfo in the missing places.
 386
 387  * fix SRV lookup for admin server
 388
 389  * use get{addr,name}info everywhere.  and implement it in terms of
 390    getipnodeby{name,addr} (which uses gethostbyname{,2} and
 391    gethostbyaddr)
 392
 393 Changes in release 0.2h:
 394
 395  * fix typo in kx (now compiles)
 396
 397 Changes in release 0.2g:
 398
 399  * lots of bug fixes:
 400    * push works
 401    * repair appl/test programs
 402    * sockaddr_storage works on solaris (alignment issues)
 403    * works better with non-roken getaddrinfo
 404    * rsh works
 405    * some non standard C constructs removed
 406
 407 Changes in release 0.2f:
 408
 409  * support SRV records for kpasswd
 410  * look for both _kerberos and krb5-realm when doing host -> realm mapping
 411
 412 Changes in release 0.2e:
 413
 414  * changed copyright notices to remove `advertising'-clause.
 415  * get{addr,name}info added to roken and used in the other code
 416    (this makes things work much better with hosts with both v4 and v6
 417     addresses, among other things)
 418  * do pre-auth for both password and key-based get_in_tkt
 419  * support for having several databases
 420  * new command `del_enctype' in kadmin
 421  * strptime (and new strftime) add to roken
 422  * more paranoia about finding libdb
 423  * bug fixes
 424
 425 Changes in release 0.2d:
 426
 427  * new configuration option [libdefaults]default_etypes_des
 428  * internal ls in ftpd builds without KRB4
 429  * kx/rsh/push/pop_debug tries v5 and v4 consistenly
 430  * build bug fixes
 431  * other bug fixes
 432
 433 Changes in release 0.2c:
 434
 435  * bug fixes (see ChangeLog's for details)
 436
 437 Changes in release 0.2b:
 438
 439  * bug fixes
 440  * actually bump shared library versions
 441
 442 Changes in release 0.2a:
 443
 444  * a new program verify_krb5_conf for checking your /etc/krb5.conf
 445  * add 3DES keys when changing password
 446  * support null keys in database
 447  * support multiple local realms
 448  * implement a keytab backend for AFS KeyFile's
 449  * implement a keytab backend for v4 srvtabs
 450  * implement `ktutil copy'
 451  * support password quality control in v4 kadmind
 452  * improvements in v4 compat kadmind
 453  * handle the case of having the correct cred in the ccache but with
 454    the wrong encryption type better
 455  * v6-ify the remaining programs.
 456  * internal ls in ftpd
 457  * rename strcpy_truncate/strcat_truncate to strlcpy/strlcat
 458  * add `ank --random-password' and `cpw --random-password' in kadmin
 459  * some programs and documentation for trying to talk to a W2K KDC
 460  * bug fixes
 461
 462 Changes in release 0.1m:
 463
 464  * support for getting default from krb5.conf for kinit/kf/rsh/telnet.
 465    From Miroslav Ruda <ruda@ics.muni.cz>
 466  * v6-ify hprop and hpropd
 467  * support numeric addresses in krb5_mk_req
 468  * shadow support in login and su. From Miroslav Ruda <ruda@ics.muni.cz>
 469  * make rsh/rshd IPv6-aware
 470  * make the gssapi sample applications better at reporting errors
 471  * lots of bug fixes
 472  * handle systems with v6-aware libc and non-v6 kernels (like Linux
 473    with glibc 2.1) better
 474  * hide failure of ERPT in ftp
 475  * lots of bug fixes
 476
 477 Changes in release 0.1l:
 478
 479  * make ftp and ftpd IPv6-aware
 480  * add inet_pton to roken
 481  * more IPv6-awareness
 482  * make mini_inetd v6 aware
 483
 484 Changes in release 0.1k:
 485
 486  * bump shared libraries versions
 487  * add roken version of inet_ntop
 488  * merge more changes to rshd
 489
 490 Changes in release 0.1j:
 491
 492  * restore back to the `old' 3DES code.  This was supposed to be done
 493    in 0.1h and 0.1i but I did a CVS screw-up.
 494  * make telnetd handle v6 connections
 495
 496 Changes in release 0.1i:
 497
 498  * start using `struct sockaddr_storage' which simplifies the code
 499    (with a fallback definition if it's not defined)
 500  * bug fixes (including in hprop and kf)
 501  * don't use mawk which seems to mishandle roken.awk
 502  * get_addrs should be able to handle v6 addresses on Linux (with the
 503    required patch to the Linux kernel -- ask within)
 504  * rshd builds with shadow passwords
 505
 506 Changes in release 0.1h:
 507
 508  * kf: new program for forwarding credentials
 509  * portability fixes
 510  * make forwarding credentials work with MIT code
 511  * better conversion of ka database
 512  * add etc/services.append
 513  * correct `modified by' from kpasswdd
 514  * lots of bug fixes
 515
 516 Changes in release 0.1g:
 517
 518  * kgetcred: new program for explicitly obtaining tickets
 519  * configure fixes
 520  * krb5-aware kx
 521  * bug fixes
 522
 523 Changes in release 0.1f;
 524
 525  * experimental support for v4 kadmin protokoll in kadmind
 526  * bug fixes
 527
 528 Changes in release 0.1e:
 529
 530  * try to handle old DCE and MIT kdcs
 531  * support for older versions of credential cache files and keytabs
 532  * postdated tickets work
 533  * support for password quality checks in kpasswdd
 534  * new flag --enable-kaserver for kdc
 535  * renew fixes
 536  * prototype su program
 537  * updated (some) manpages
 538  * support for KDC resource records
 539  * should build with --without-krb4
 540  * bug fixes
 541
 542 Changes in release 0.1d:
 543
 544  * Support building with DB2 (uses 1.85-compat API)
 545  * Support krb5-realm.DOMAIN in DNS
 546  * new `ktutil srvcreate'
 547  * v4/kafs support in klist/kdestroy
 548  * bug fixes
 549
 550 Changes in release 0.1c:
 551
 552  * fix ASN.1 encoding of signed integers
 553  * somewhat working `ktutil get'
 554  * some documentation updates
 555  * update to Autoconf 2.13 and Automake 1.4
 556  * the usual bug fixes
 557
 558 Changes in release 0.1b:
 559
 560  * some old -> new crypto conversion utils
 561  * bug fixes
 562
 563 Changes in release 0.1a:
 564
 565  * new crypto code
 566  * more bug fixes
 567  * make sure we ask for DES keys in gssapi
 568  * support signed ints in ASN1
 569  * IPv6-bug fixes
 570
 571 Changes in release 0.0u:
 572
 573  * lots of bug fixes
 574
 575 Changes in release 0.0t:
 576
 577  * more robust parsing of krb5.conf
 578  * include net{read,write} in lib/roken
 579  * bug fixes
 580
 581 Changes in release 0.0s:
 582
 583  * kludges for parsing options to rsh
 584  * more robust parsing of krb5.conf
 585  * removed some arbitrary limits
 586  * bug fixes
 587
 588 Changes in release 0.0r:
 589
 590  * default options for some programs
 591  * bug fixes
 592
 593 Changes in release 0.0q:
 594
 595  * support for building shared libraries with libtool
 596  * bug fixes
 597
 598 Changes in release 0.0p:
 599
 600  * keytab moved to /etc/krb5.keytab
 601  * avoid false detection of IPv6 on Linux
 602  * Lots of more functionality in the gssapi-library
 603  * hprop can now read ka-server databases
 604  * bug fixes
 605
 606 Changes in release 0.0o:
 607
 608  * FTP with GSSAPI support.
 609  * Bug fixes.
 610
 611 Changes in release 0.0n:
 612
 613  * Incremental database propagation.
 614  * Somewhat improved kadmin ui; the stuff in admin is now removed.
 615  * Some support for using enctypes instead of keytypes.
 616  * Lots of other improvement and bug fixes, see ChangeLog for details.