WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.18.9
   3                          November 29, 2023
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.18 release series.
   8 It contains the security-relevant bugfix CVE-2018-14628:
   9
  10     Wrong ntSecurityDescriptor values for "CN=Deleted Objects"
  11     allow read of object tombstones over LDAP
  12     (Administrator action required!)
  13     https://www.samba.org/samba/security/CVE-2018-14628.html
  14
  15
  16 Description of CVE-2018-14628
  17 -----------------------------
  18
  19 All versions of Samba from 4.0.0 onwards are vulnerable to an
  20 information leak (compared with the established behaviour of
  21 Microsoft's Active Directory) when Samba is an Active Directory Domain
  22 Controller.
  23
  24 When a domain was provisioned with an unpatched Samba version,
  25 the ntSecurityDescriptor is simply inherited from Domain/Partition-HEAD-Object
  26 instead of being very strict (as on a Windows provisioned domain).
  27
  28 This means also non privileged users can use the
  29 LDAP_SERVER_SHOW_DELETED_OID control in order to view,
  30 the names and preserved attributes of deleted objects.
  31
  32 No information that was hidden before the deletion is visible, but in
  33 with the correct ntSecurityDescriptor value in place the whole object
  34 is also not visible without administrative rights.
  35
  36 There is no further vulnerability associated with this error, merely an
  37 information disclosure.
  38
  39 Action required in order to resolve CVE-2018-14628!
  40 ---------------------------------------------------
  41
  42 The patched Samba does NOT protect existing domains!
  43
  44 The administrator needs to run the following command
  45 (on only one domain controller)
  46 in order to apply the protection to an existing domain:
  47
  48   samba-tool dbcheck --cross-ncs --attrs=nTSecurityDescriptor --fix
  49
  50 The above requires manual interaction in order to review the
  51 changes before they are applied. Typicall question look like this:
  52
  53   Reset nTSecurityDescriptor on CN=Deleted Objects,DC=samba,DC=org back to provision default?
  54         Owner mismatch: SY (in ref) DA(in current)
  55         Group mismatch: SY (in ref) DA(in current)
  56         Part dacl is different between reference and current here is the detail:
  57                 (A;;LCRPLORC;;;AU) ACE is not present in the reference
  58                 (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY) ACE is not present in the reference
  59                 (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;DA) ACE is not present in the reference
  60                 (A;;CCDCLCSWRPWPSDRCWDWO;;;SY) ACE is not present in the current
  61                 (A;;LCRP;;;BA) ACE is not present in the current
  62    [y/N/all/none] y
  63   Fixed attribute 'nTSecurityDescriptor' of 'CN=Deleted Objects,DC=samba,DC=org'
  64
  65 The change should be confirmed with 'y' for all objects starting with
  66 'CN=Deleted Objects'.
  67
  68
  69 Changes since 4.18.8
  70 --------------------
  71
  72 o  Michael Adam <obnox@samba.org>
  73    * BUG 15497: Add make command for querying Samba version.
  74
  75 o  Ralph Boehme <slow@samba.org>
  76    * BUG 15487: smbd crashes if asked to return full information on close of a
  77      stream handle with delete on close disposition set.
  78    * BUG 15521: smbd: fix close order of base_fsp and stream_fsp in
  79      smb_fname_fsp_destructor().
  80
  81 o  Björn Jacke <bj@sernet.de>
  82    * BUG 15093: Files without "read attributes" NFS4 ACL permission are not
  83      listed in directories.
  84
  85 o  Stefan Metzmacher <metze@samba.org>
  86    * BUG 13595: CVE-2018-14628 [SECURITY] Deleted Object tombstones visible in
  87      AD LDAP to normal users.
  88
  89 o  Christof Schmitt <cs@samba.org>
  90    * BUG 15507: vfs_gpfs stat calls fail due to file system permissions.
  91
  92 o  Christof Schmitt <christof.schmitt@us.ibm.com>
  93    * BUG 15497: Add make command for querying Samba version.
  94
  95 o  Martin Schwenke <mschwenke@ddn.com>
  96    * BUG 15479: ctdbd: setproctitle not initialized messages flooding logs.
  97
  98
  99 #######################################
 100 Reporting bugs & Development Discussion
 101 #######################################
 102
 103 Please discuss this release on the samba-technical mailing list or by
 104 joining the #samba-technical:matrix.org matrix room, or
 105 #samba-technical IRC channel on irc.libera.chat.
 106
 107 If you do report problems then please try to send high quality
 108 feedback. If you don't provide vital information to help us track down
 109 the problem then you will probably be ignored.  All bug reports should
 110 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 111 database (https://bugzilla.samba.org/).
 112
 113
 114 ======================================================================
 115 == Our Code, Our Bugs, Our Responsibility.
 116 == The Samba Team
 117 ======================================================================
 118
 119
 120 Release notes for older releases follow:
 121 ----------------------------------------
 122                    ==============================
 123                    Release Notes for Samba 4.18.8
 124                           October 10, 2023
 125                    ==============================
 126
 127
 128 This is a security release in order to address the following defects:
 129
 130
 131 o CVE-2023-3961:  Unsanitized pipe names allow SMB clients to connect as root to
 132                   existing unix domain sockets on the file system.
 133                   https://www.samba.org/samba/security/CVE-2023-3961.html
 134
 135 o CVE-2023-4091:  SMB client can truncate files to 0 bytes by opening files with
 136                   OVERWRITE disposition when using the acl_xattr Samba VFS
 137                   module with the smb.conf setting
 138                   "acl_xattr:ignore system acls = yes"
 139                   https://www.samba.org/samba/security/CVE-2023-4091.html
 140
 141 o CVE-2023-4154:  An RODC and a user with the GET_CHANGES right can view all
 142                   attributes, including secrets and passwords.  Additionally,
 143                   the access check fails open on error conditions.
 144                   https://www.samba.org/samba/security/CVE-2023-4154.html
 145
 146 o CVE-2023-42669: Calls to the rpcecho server on the AD DC can request that the
 147                   server block for a user-defined amount of time, denying
 148                   service.
 149                   https://www.samba.org/samba/security/CVE-2023-42669.html
 150
 151 o CVE-2023-42670: Samba can be made to start multiple incompatible RPC
 152                   listeners, disrupting service on the AD DC.
 153                   https://www.samba.org/samba/security/CVE-2023-42670.html
 154
 155
 156 Changes since 4.18.7
 157 --------------------
 158
 159 o  Jeremy Allison <jra@samba.org>
 160    * BUG 15422: CVE-2023-3961.
 161
 162 o  Andrew Bartlett <abartlet@samba.org>
 163    * BUG 15424: CVE-2023-4154.
 164    * BUG 15473: CVE-2023-42670.
 165    * BUG 15474: CVE-2023-42669.
 166
 167 o  Ralph Boehme <slow@samba.org>
 168    * BUG 15439: CVE-2023-4091.
 169
 170 o  Stefan Metzmacher <metze@samba.org>
 171    * BUG 15424: CVE-2023-4154.
 172
 173 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 174    * BUG 15424: CVE-2023-4154.
 175
 176
 177 #######################################
 178 Reporting bugs & Development Discussion
 179 #######################################
 180
 181 Please discuss this release on the samba-technical mailing list or by
 182 joining the #samba-technical:matrix.org matrix room, or
 183 #samba-technical IRC channel on irc.libera.chat.
 184
 185 If you do report problems then please try to send high quality
 186 feedback. If you don't provide vital information to help us track down
 187 the problem then you will probably be ignored.  All bug reports should
 188 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 189 database (https://bugzilla.samba.org/).
 190
 191
 192 ======================================================================
 193 == Our Code, Our Bugs, Our Responsibility.
 194 == The Samba Team
 195 ======================================================================
 196
 197
 198 ----------------------------------------------------------------------
 199                    ==============================
 200                    Release Notes for Samba 4.18.7
 201                          September 27, 2023
 202                    ==============================
 203
 204
 205 This is the latest stable release of the Samba 4.18 release series.
 206
 207
 208 Changes since 4.18.6
 209 --------------------
 210
 211 o  Jeremy Allison <jra@samba.org>
 212    * BUG 15419: Weird filename can cause assert to fail in
 213      openat_pathref_fsp_nosymlink().
 214    * BUG 15423: use-after-free in aio_del_req_from_fsp during smbd shutdown
 215      after failed IPC FSCTL_PIPE_TRANSCEIVE.
 216    * BUG 15432: TREE_CONNECT without SETUP causes smbd to use uninitialized
 217      pointer.
 218
 219 o  Andrew Bartlett <abartlet@samba.org>
 220    * BUG 15401: Avoid infinite loop in initial user sync with Azure AD Connect.
 221    * BUG 15407: Samba replication logs show (null) DN.
 222
 223 o  Ralph Boehme <slow@samba.org>
 224    * BUG 15463: macOS mdfind returns only 50 results.
 225
 226 o  Remi Collet <rcollet@redhat.com>
 227    * BUG 14808: smbc_getxattr() return value is incorrect.
 228
 229 o  Volker Lendecke <vl@samba.org>
 230    * BUG 15481: GETREALFILENAME_CACHE can modify incoming new filename with
 231      previous cache entry value.
 232
 233 o  Stefan Metzmacher <metze@samba.org>
 234    * BUG 15464: libnss_winbind causes memory corruption since samba-4.18,
 235      impacts sendmail, zabbix, potentially more.
 236
 237 o  MikeLiu <mikeliu@qnap.com>
 238    * BUG 15453: File doesn't show when user doesn't have permission if
 239      aio_pthread is loaded.
 240
 241 o  Martin Schwenke <mschwenke@ddn.com>
 242    * BUG 15451: ctdb_killtcp fails to work with --enable-pcap and libpcap ≥
 243      1.9.1.
 244
 245 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 246    * BUG 15476: The KDC in 4.18 (and older) is not able to accept tickets with
 247      empty claims pac blobs (from Samba 4.19 or Windows).
 248    * BUG 15477: The heimdal KDC doesn't detect s4u2self correctly when fast is
 249      in use.
 250
 251
 252 #######################################
 253 Reporting bugs & Development Discussion
 254 #######################################
 255
 256 Please discuss this release on the samba-technical mailing list or by
 257 joining the #samba-technical:matrix.org matrix room, or
 258 #samba-technical IRC channel on irc.libera.chat.
 259
 260 If you do report problems then please try to send high quality
 261 feedback. If you don't provide vital information to help us track down
 262 the problem then you will probably be ignored.  All bug reports should
 263 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 264 database (https://bugzilla.samba.org/).
 265
 266
 267 ======================================================================
 268 == Our Code, Our Bugs, Our Responsibility.
 269 == The Samba Team
 270 ======================================================================
 271
 272
 273 ----------------------------------------------------------------------
 274                    ==============================
 275                    Release Notes for Samba 4.18.6
 276                           August 16, 2023
 277                    ==============================
 278
 279
 280 This is the latest stable release of the Samba 4.18 release series.
 281
 282
 283 Changes since 4.18.5
 284 --------------------
 285
 286 o  Jeremy Allison <jra@samba.org>
 287    * BUG 15420: reply_sesssetup_and_X() can dereference uninitialized tmp
 288      pointer.
 289    * BUG 15430: Missing return in reply_exit_done().
 290
 291 o  Andrew Bartlett <abartlet@samba.org>
 292    * BUG 15289: post-exec password redaction for samba-tool is more reliable for
 293      fully random passwords as it no longer uses regular expressions
 294      containing the password value itself.
 295    * BUG 9959: Windows client join fails if a second container CN=System exists
 296      somewhere.
 297
 298 o  Ralph Boehme <slow@samba.org>
 299    * BUG 15342: Spotlight sometimes returns no results on latest macOS.
 300    * BUG 15417: Renaming results in NT_STATUS_SHARING_VIOLATION if previously
 301      attempted to remove the destination.
 302    * BUG 15427: Spotlight results return wrong date in result list.
 303
 304 o  Günther Deschner <gd@samba.org>
 305    * BUG 15414: "net offlinejoin provision" does not work as non-root user.
 306
 307 o  Pavel Filipenský <pfilipensky@samba.org>
 308    * BUG 15400: rpcserver no longer accepts double backslash in dfs pathname.
 309    * BUG 15433: cm_prepare_connection() calls close(fd) for the second time.
 310
 311 o  Stefan Metzmacher <metze@samba.org>
 312    * BUG 15346: 2-3min delays at reconnect with smb2_validate_sequence_number:
 313      bad message_id 2.
 314    * BUG 15441: samba-tool ntacl get segfault if aio_pthread appended.
 315    * BUG 15446: DCERPC_PKT_CO_CANCEL and DCERPC_PKT_ORPHANED can't be parsed.
 316
 317 o  Noel Power <noel.power@suse.com>
 318    * BUG 15390: Python tarfile extraction needs change to avoid a warning
 319      (CVE-2007-4559 mitigation).
 320    * BUG 15435: Regression DFS not working with widelinks = true.
 321
 322 o  Arvid Requate <requate@univention.de>
 323    * BUG 9959: Windows client join fails if a second container CN=System exists
 324     somewhere.
 325
 326 o  Jones Syue <jonessyue@qnap.com>
 327    * BUG 15441: samba-tool ntacl get segfault if aio_pthread appended.
 328    * BUG 15449: mdssvc: Do an early talloc_free() in _mdssvc_open().
 329
 330
 331 #######################################
 332 Reporting bugs & Development Discussion
 333 #######################################
 334
 335 Please discuss this release on the samba-technical mailing list or by
 336 joining the #samba-technical:matrix.org matrix room, or
 337 #samba-technical IRC channel on irc.libera.chat.
 338
 339 If you do report problems then please try to send high quality
 340 feedback. If you don't provide vital information to help us track down
 341 the problem then you will probably be ignored.  All bug reports should
 342 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 343 database (https://bugzilla.samba.org/).
 344
 345
 346 ======================================================================
 347 == Our Code, Our Bugs, Our Responsibility.
 348 == The Samba Team
 349 ======================================================================
 350
 351
 352 ----------------------------------------------------------------------
 353                    ==============================
 354                    Release Notes for Samba 4.18.5
 355                            July 19, 2023
 356                    ==============================
 357
 358
 359 This is a security release in order to address the following defects:
 360
 361 o CVE-2022-2127:  When winbind is used for NTLM authentication, a maliciously
 362                   crafted request can trigger an out-of-bounds read in winbind
 363                   and possibly crash it.
 364                   https://www.samba.org/samba/security/CVE-2022-2127.html
 365
 366 o CVE-2023-3347:  SMB2 packet signing is not enforced if an admin configured
 367                   "server signing = required" or for SMB2 connections to Domain
 368                   Controllers where SMB2 packet signing is mandatory.
 369                   https://www.samba.org/samba/security/CVE-2023-3347.html
 370
 371 o CVE-2023-34966: An infinite loop bug in Samba's mdssvc RPC service for
 372                   Spotlight can be triggered by an unauthenticated attacker by
 373                   issuing a malformed RPC request.
 374                   https://www.samba.org/samba/security/CVE-2023-34966.html
 375
 376 o CVE-2023-34967: Missing type validation in Samba's mdssvc RPC service for
 377                   Spotlight can be used by an unauthenticated attacker to
 378                   trigger a process crash in a shared RPC mdssvc worker process.
 379                   https://www.samba.org/samba/security/CVE-2023-34967.html
 380
 381 o CVE-2023-34968: As part of the Spotlight protocol Samba discloses the server-
 382                   side absolute path of shares and files and directories in
 383                   search results.
 384                   https://www.samba.org/samba/security/CVE-2023-34968.html
 385
 386
 387 Changes since 4.18.4
 388 --------------------
 389
 390 o  Ralph Boehme <slow@samba.org>
 391    * BUG 15072: CVE-2022-2127.
 392    * BUG 15340: CVE-2023-34966.
 393    * BUG 15341: CVE-2023-34967.
 394    * BUG 15388: CVE-2023-34968.
 395    * BUG 15397: CVE-2023-3347.
 396
 397 o  Volker Lendecke <vl@samba.org>
 398    * BUG 15072: CVE-2022-2127.
 399
 400 o  Stefan Metzmacher <metze@samba.org>
 401    * BUG 15418: Secure channel faulty since Windows 10/11 update 07/2023.
 402
 403
 404 #######################################
 405 Reporting bugs & Development Discussion
 406 #######################################
 407
 408 Please discuss this release on the samba-technical mailing list or by
 409 joining the #samba-technical:matrix.org matrix room, or
 410 #samba-technical IRC channel on irc.libera.chat.
 411
 412 If you do report problems then please try to send high quality
 413 feedback. If you don't provide vital information to help us track down
 414 the problem then you will probably be ignored.  All bug reports should
 415 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 416 database (https://bugzilla.samba.org/).
 417
 418
 419 ======================================================================
 420 == Our Code, Our Bugs, Our Responsibility.
 421 == The Samba Team
 422 ======================================================================
 423
 424
 425 ----------------------------------------------------------------------
 426                    ==============================
 427                    Release Notes for Samba 4.18.4
 428                            July 05, 2023
 429                    ==============================
 430
 431
 432 This is the latest stable release of the Samba 4.18 release series.
 433
 434
 435 Changes since 4.18.3
 436 --------------------
 437
 438 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 439    * BUG 15404: Backport --pidl-developer fixes.
 440
 441 o  Samuel Cabrero <scabrero@samba.org>
 442    * BUG 14030: Named crashes on DLZ zone update.
 443
 444 o  Björn Jacke <bj@sernet.de>
 445    * BUG 2312: smbcacls and smbcquotas do not check // before the server.
 446
 447 o  Volker Lendecke <vl@samba.org>
 448    * BUG 15382: cli_list loops 100% CPU against pre-lanman2 servers.
 449    * BUG 15391: smbclient leaks fds with showacls.
 450    * BUG 15402: smbd returns NOT_FOUND when creating files on a r/o filesystem.
 451
 452 o  Stefan Metzmacher <metze@samba.org>
 453    * BUG 15355: NSS_WRAPPER_HOSTNAME doesn't match NSS_WRAPPER_HOSTS entry and
 454      causes test timeouts.
 455
 456 o  Noel Power <noel.power@suse.com>
 457    * BUG 15384: net ads lookup (with unspecified realm) fails.
 458
 459 o  Christof Schmitt <cs@samba.org>
 460    * BUG 15381: Register Samba processes with GPFS.
 461
 462 o  Andreas Schneider <asn@samba.org>
 463    * BUG 15390: Python tarfile extraction needs change to avoid a warning
 464      (CVE-2007-4559 mitigation).
 465    * BUG 15398: The winbind child segfaults when listing users with `winbind
 466      scan trusted domains = yes`.
 467
 468 o  Jones Syue <jonessyue@qnap.com>
 469    * BUG 15383: Remove comments about deprecated 'write cache size'.
 470    * BUG 15403: smbget memory leak if failed to download files recursively.
 471
 472
 473 #######################################
 474 Reporting bugs & Development Discussion
 475 #######################################
 476
 477 Please discuss this release on the samba-technical mailing list or by
 478 joining the #samba-technical:matrix.org matrix room, or
 479 #samba-technical IRC channel on irc.libera.chat.
 480
 481 If you do report problems then please try to send high quality
 482 feedback. If you don't provide vital information to help us track down
 483 the problem then you will probably be ignored.  All bug reports should
 484 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 485 database (https://bugzilla.samba.org/).
 486
 487
 488 ======================================================================
 489 == Our Code, Our Bugs, Our Responsibility.
 490 == The Samba Team
 491 ======================================================================
 492
 493
 494 ----------------------------------------------------------------------
 495                    ==============================
 496                    Release Notes for Samba 4.18.3
 497                             May 31, 2023
 498                    ==============================
 499
 500
 501 This is the latest stable release of the Samba 4.18 release series.
 502
 503
 504 Changes since 4.18.2
 505 --------------------
 506
 507 o  Ralph Boehme <slow@samba.org>
 508    * BUG 15375: Symlinks to files can have random DOS mode information in a
 509      directory listing.
 510    * BUG 15378: vfs_fruit might cause a failing open for delete.
 511
 512 o  Volker Lendecke <vl@samba.org>
 513    * BUG 15361: winbind recurses into itself via rpcd_lsad.
 514    * BUG 15366: wbinfo -u fails on ad dc with >1000 users.
 515
 516 o  Stefan Metzmacher <metze@samba.org>
 517    * BUG 15338: DS ACEs might be inherited to unrelated object classes.
 518    * BUG 15362: a lot of messages: get_static_share_mode_data:
 519      get_static_share_mode_data_fn failed: NT_STATUS_NOT_FOUND.
 520    * BUG 15374: aes256 smb3 encryption algorithms are not allowed in
 521      smb3_sid_parse().
 522
 523 o  Andreas Schneider <asn@samba.org>
 524    * BUG 15360: Setting veto files = /.*/ break listing directories.
 525
 526 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 527    * BUG 15363: "samba-tool domain provision" does not run interactive mode if
 528      no arguments are given.
 529
 530 o  Nathaniel W. Turner <nturner@exagrid.com>
 531    * BUG 15325: dsgetdcname: assumes local system uses IPv4.
 532
 533
 534 #######################################
 535 Reporting bugs & Development Discussion
 536 #######################################
 537
 538 Please discuss this release on the samba-technical mailing list or by
 539 joining the #samba-technical:matrix.org matrix room, or
 540 #samba-technical IRC channel on irc.libera.chat.
 541
 542 If you do report problems then please try to send high quality
 543 feedback. If you don't provide vital information to help us track down
 544 the problem then you will probably be ignored.  All bug reports should
 545 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 546 database (https://bugzilla.samba.org/).
 547
 548
 549 ======================================================================
 550 == Our Code, Our Bugs, Our Responsibility.
 551 == The Samba Team
 552 ======================================================================
 553
 554
 555 ----------------------------------------------------------------------
 556                    ==============================
 557                    Release Notes for Samba 4.18.2
 558                            April 19, 2023
 559                    ==============================
 560
 561
 562 This is the latest stable release of the Samba 4.18 release series.
 563
 564
 565 Changes since 4.18.1
 566 --------------------
 567
 568 o  Jeremy Allison <jra@samba.org>
 569    * BUG 15302: Log flood: smbd_calculate_access_mask_fsp: Access denied:
 570      message level should be lower.
 571    * BUG 15306: Floating point exception (FPE) via cli_pull_send at
 572      source3/libsmb/clireadwrite.c.
 573
 574 o  Andrew Bartlett <abartlet@samba.org>
 575    * BUG 15328: test_tstream_more_tcp_user_timeout_spin fails intermittently on
 576      Rackspace GitLab runners.
 577    * BUG 15329: Reduce flapping of ridalloc test.
 578    * BUG 15351: large_ldap test is unreliable.
 579
 580 o  Ralph Boehme <slow@samba.org>
 581    * BUG 15143: New filename parser doesn't check veto files smb.conf parameter.
 582    * BUG 15354: mdssvc may crash when initializing.
 583
 584 o  Volker Lendecke <vl@samba.org>
 585    * BUG 15313: large directory optimization broken for non-lcomp path elements.
 586    * BUG 15357: streams_depot fails to create streams.
 587    * BUG 15358: shadow_copy2 and streams_depot don't play well together.
 588
 589 o  Rob van der Linde <rob@catalyst.net.nz>
 590    * BUG 15316: Flapping tests in samba_tool_drs_show_repl.py.
 591
 592 o  Stefan Metzmacher <metze@samba.org>
 593    * BUG 15317: winbindd idmap child contacts the domain controller without a
 594      need.
 595    * BUG 15318: idmap_autorid may fail to map sids of trusted domains for the
 596      first time.
 597    * BUG 15319: idmap_hash doesn't use ID_TYPE_BOTH for reverse mappings.
 598    * BUG 15323: net ads search -P doesn't work against servers in other domains.
 599    * BUG 15353: Temporary smbXsrv_tcon_global.tdb can't be parsed.
 600
 601 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 602    * BUG 15316: Flapping tests in samba_tool_drs_show_repl.py.
 603    * BUG 15343: Tests use depricated and removed methods like
 604      assertRegexpMatches.
 605
 606
 607 #######################################
 608 Reporting bugs & Development Discussion
 609 #######################################
 610
 611 Please discuss this release on the samba-technical mailing list or by
 612 joining the #samba-technical:matrix.org matrix room, or
 613 #samba-technical IRC channel on irc.libera.chat.
 614
 615 If you do report problems then please try to send high quality
 616 feedback. If you don't provide vital information to help us track down
 617 the problem then you will probably be ignored.  All bug reports should
 618 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 619 database (https://bugzilla.samba.org/).
 620
 621
 622 ======================================================================
 623 == Our Code, Our Bugs, Our Responsibility.
 624 == The Samba Team
 625 ======================================================================
 626
 627
 628 ----------------------------------------------------------------------
 629                    ==============================
 630                    Release Notes for Samba 4.18.1
 631                            March 29, 2023
 632                    ==============================
 633
 634
 635 This is a security release in order to address the following defects:
 636
 637 o CVE-2023-0225: An incomplete access check on dnsHostName allows authenticated
 638                  but otherwise unprivileged users to delete this attribute from
 639                  any object in the directory.
 640                  https://www.samba.org/samba/security/CVE-2023-0225.html
 641
 642 o CVE-2023-0922: The Samba AD DC administration tool, when operating against a
 643                  remote LDAP server, will by default send new or reset
 644                  passwords over a signed-only connection.
 645                  https://www.samba.org/samba/security/CVE-2023-0922.html
 646
 647 o CVE-2023-0614: The fix in 4.6.16, 4.7.9, 4.8.4 and 4.9.7 for CVE-2018-10919
 648                  Confidential attribute disclosure via LDAP filters was
 649                  insufficient and an attacker may be able to obtain
 650                  confidential BitLocker recovery keys from a Samba AD DC.
 651                  Installations with such secrets in their Samba AD should
 652                  assume they have been obtained and need replacing.
 653                  https://www.samba.org/samba/security/CVE-2023-0614.html
 654
 655
 656 Changes since 4.18.0
 657 --------------------
 658
 659 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 660    * BUG 15276: CVE-2023-0225.
 661
 662 o  Andrew Bartlett <abartlet@samba.org>
 663    * BUG 15270: CVE-2023-0614.
 664    * BUG 15331: ldb wildcard matching makes excessive allocations.
 665    * BUG 15332: large_ldap test is inefficient.
 666
 667 o  Rob van der Linde <rob@catalyst.net.nz>
 668    * BUG 15315: CVE-2023-0922.
 669
 670 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 671    * BUG 15270: CVE-2023-0614.
 672    * BUG 15276: CVE-2023-0225.
 673
 674
 675 #######################################
 676 Reporting bugs & Development Discussion
 677 #######################################
 678
 679 Please discuss this release on the samba-technical mailing list or by
 680 joining the #samba-technical:matrix.org matrix room, or
 681 #samba-technical IRC channel on irc.libera.chat.
 682
 683 If you do report problems then please try to send high quality
 684 feedback. If you don't provide vital information to help us track down
 685 the problem then you will probably be ignored.  All bug reports should
 686 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 687 database (https://bugzilla.samba.org/).
 688
 689
 690 ======================================================================
 691 == Our Code, Our Bugs, Our Responsibility.
 692 == The Samba Team
 693 ======================================================================
 694
 695
 696 ----------------------------------------------------------------------
 697                    ==============================
 698                    Release Notes for Samba 4.18.0
 699                            March 08, 2023
 700                    ==============================
 701
 702 This is the first stable release of the Samba 4.18 release series.
 703 Please read the release notes carefully before upgrading.
 704
 705 NEW FEATURES/CHANGES
 706 ====================
 707
 708 SMB Server performance improvements
 709 -----------------------------------
 710
 711 The security improvements in recent releases
 712 (4.13, 4.14, 4.15, 4.16), mainly as protection against symlink races,
 713 caused performance regressions for metadata heavy workloads.
 714
 715 While 4.17 already improved the situation quite a lot,
 716 with 4.18 the locking overhead for contended path based operations
 717 is reduced by an additional factor of ~ 3 compared to 4.17.
 718 It means the throughput of open/close
 719 operations reached the level of 4.12 again.
 720
 721 More succinct samba-tool error messages
 722 ---------------------------------------
 723
 724 Historically samba-tool has reported user error or misconfiguration by
 725 means of a Python traceback, showing you where in its code it noticed
 726 something was wrong, but not always exactly what is amiss. Now it
 727 tries harder to identify the true cause and restrict its output to
 728 describing that. Particular cases include:
 729
 730  * a username or password is incorrect
 731  * an ldb database filename is wrong (including in smb.conf)
 732  * samba-tool dns: various zones or records do not exist
 733  * samba-tool ntacl: certain files are missing
 734  * the network seems to be down
 735  * bad --realm or --debug arguments
 736
 737 Accessing the old samba-tool messages
 738 -------------------------------------
 739
 740 This is not new, but users are reminded they can get the full Python
 741 stack trace, along with other noise, by using the argument '-d3'.
 742 This may be useful when searching the web.
 743
 744 The intention is that when samba-tool encounters an unrecognised
 745 problem (especially a bug), it will still output a Python traceback.
 746 If you encounter a problem that has been incorrectly identified by
 747 samba-tool, please report it on https://bugzilla.samba.org.
 748
 749 Colour output with samba-tool --color
 750 -------------------------------------
 751
 752 For some time a few samba-tool commands have had a --color=yes|no|auto
 753 option, which determines whether the command outputs ANSI colour
 754 codes. Now all samba-tool commands support this option, which now also
 755 accepts 'always' and 'force' for 'yes', 'never' and 'none' for 'no',
 756 and 'tty' and 'if-tty' for 'auto' (this more closely matches
 757 convention). With --color=auto, or when --color is omitted, colour
 758 codes are only used when output is directed to a terminal.
 759
 760 Most commands have very little colour in any case. For those that
 761 already used it, the defaults have changed slightly.
 762
 763  * samba-tool drs showrepl: default is now 'auto', not 'no'
 764
 765  * samba-tool visualize: the interactions between --color-scheme,
 766    --color, and --output have changed slightly. When --color-scheme is
 767    set it overrides --color for the purpose of the output diagram, but
 768    not for other output like error messages.
 769
 770 New samba-tool dsacl subcommand for deleting ACES
 771 -------------------------------------------------
 772
 773 The samba-tool dsacl tool can now delete entries in directory access
 774 control lists. The interface for 'samba-tool dsacl delete' is similar
 775 to that of 'samba-tool dsacl set', with the difference being that the
 776 ACEs described by the --sddl argument are deleted rather than added.
 777
 778 No colour with NO_COLOR environment variable
 779 --------------------------------------------
 780
 781 With both samba-tool --color=auto (see above) and some other places
 782 where we use ANSI colour codes, the NO_COLOR environment variable will
 783 disable colour output. See https://no-color.org/ for a description of
 784 this variable. `samba-tool --color=always` will use colour regardless
 785 of NO_COLOR.
 786
 787 New wbinfo option --change-secret-at
 788 ------------------------------------
 789
 790 The wbinfo command has a new option, --change-secret-at=<DOMAIN CONTROLLER>
 791 which forces the trust account password to be changed at a specified domain
 792 controller. If the specified domain controller cannot be contacted the
 793 password change fails rather than trying other DCs.
 794
 795 New option to change the NT ACL default location
 796 ------------------------------------------------
 797
 798 Usually the NT ACLs are stored in the security.NTACL extended
 799 attribute (xattr) of files and directories. The new
 800 "acl_xattr:security_acl_name" option allows to redefine the default
 801 location. The default "security.NTACL" is a protected location, which
 802 means the content of the security.NTACL attribute is not accessible
 803 from normal users outside of Samba. When this option is set to use a
 804 user-defined value, e.g. user.NTACL then any user can potentially
 805 access and overwrite this information. The module prevents access to
 806 this xattr over SMB, but the xattr may still be accessed by other
 807 means (eg local access, SSH, NFS). This option must only be used when
 808 this consequence is clearly understood and when specific precautions
 809 are taken to avoid compromising the ACL content.
 810
 811 Azure Active Directory / Office365 synchronisation improvements
 812 --------------------------------------------------------------
 813
 814 Use of the Azure AD Connect cloud sync tool is now supported for
 815 password hash synchronisation, allowing Samba AD Domains to synchronise
 816 passwords with this popular cloud environment.
 817
 818 REMOVED FEATURES
 819 ================
 820
 821
 822 smb.conf changes
 823 ================
 824
 825   Parameter Name                          Description     Default
 826   --------------                          -----------     -------
 827   acl_xattr:security_acl_name             New             security.NTACL
 828   server addresses                        New
 829
 830
 831 CHANGES SINCE 4.18.0rc4
 832 =======================
 833
 834 o  Jeremy Allison <jra@samba.org>
 835    * BUG 15314: streams_xattr is creating unexpected locks on folders.
 836
 837 o  Volker Lendecke <vl@samba.org>
 838    * BUG 15310: New samba-dcerpc architecture does not scale gracefully.
 839
 840
 841 CHANGES SINCE 4.18.0rc3
 842 =======================
 843
 844 o  Andreas Schneider <asn@samba.org>
 845    * BUG 15308: Avoid that tests fail because other tests didn't do cleanup on
 846      failure.
 847
 848 o  baixiangcpp <baixiangcpp@gmail.com>
 849    * BUG 15311: fd_load() function implicitly closes the fd where it should not.
 850
 851
 852 CHANGES SINCE 4.18.0rc2
 853 =======================
 854
 855 o  Jeremy Allison <jra@samba.org>
 856    * BUG 15301: Improve file_modtime() and issues around smb3 unix test.
 857
 858 o  Ralph Boehme <slow@samba.org>
 859    * BUG 15299: Spotlight doesn't work with latest macOS Ventura.
 860
 861 o  Stefan Metzmacher <metze@samba.org>
 862    * BUG 15298: Build failure on solaris with tevent 0.14.0 (and ldb 2.7.0).
 863      (tevent 0.14.1 and ldb 2.7.1 are already released...)
 864
 865 o  John Mulligan <jmulligan@redhat.com>
 866    * BUG 15307: vfs_ceph incorrectly uses fsp_get_io_fd() instead of
 867      fsp_get_pathref_fd() in close and fstat.
 868
 869 o  Andreas Schneider <asn@samba.org>
 870    * BUG 15291: test_chdir_cache.sh doesn't work with SMBD_DONT_LOG_STDOUT=1.
 871    * BUG 15301: Improve file_modtime() and issues around smb3 unix test.
 872
 873
 874 CHANGES SINCE 4.18.0rc1
 875 =======================
 876
 877 o  Andrew Bartlett <abartlet@samba.org>
 878    * BUG 10635: Office365 azure Password Sync not working.
 879
 880 o  Stefan Metzmacher <metze@samba.org>
 881    * BUG 15286: auth3_generate_session_info_pac leaks wbcAuthUserInfo.
 882
 883 o  Noel Power <noel.power@suse.com>
 884    * BUG 15293: With clustering enabled samba-bgqd can core dump due to use
 885      after free.
 886
 887
 888 KNOWN ISSUES
 889 ============
 890
 891 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.18#Release_blocking_bugs
 892
 893
 894 #######################################
 895 Reporting bugs & Development Discussion
 896 #######################################
 897
 898 Please discuss this release on the samba-technical mailing list or by
 899 joining the #samba-technical:matrix.org matrix room, or
 900 #samba-technical IRC channel on irc.libera.chat
 901
 902 If you do report problems then please try to send high quality
 903 feedback. If you don't provide vital information to help us track down
 904 the problem then you will probably be ignored.  All bug reports should
 905 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 906 database (https://bugzilla.samba.org/).
 907
 908
 909 ======================================================================
 910 == Our Code, Our Bugs, Our Responsibility.
 911 == The Samba Team
 912 ======================================================================
 913