Veröffentlichung von Samba 4.17.0

Die Version Samba 4.17.0 wurde veröffentlicht und setzt die Entwicklung der Samba 4-Reihe mit einer vollständigen Implementierung des Domänencontrollers und des Active Directory-Dienstes fort, die mit der Windows 2008-Implementierung kompatibel sind und alle unterstützten Microsoft Windows-Clientversionen, einschließlich Windows 11, bedienen können. Samba 4 ist ein multifunktionales Serverprodukt, das auch die Implementierung eines Datei-Servers, eines Druckdienstes und eines Identitätsservers (winbind) bietet.

Wesentliche Änderungen in Samba 4.17:

• Es wurden Maßnahmen ergriffen, um Performance-Regressiionen auf stark ausgelasteten SMB-Servern zu beheben, die durch die Einführung von Schutzmaßnahmen gegen Schwachstellen, die symbolische Links manipulieren, verursacht wurden. Zu den durchgeführten Optimierungen gehört eine Reduzierung der Systemaufrufe zur Überprüfung von Verzeichnisnamen sowie die Nichtverwendung von Wakeup-Ereignissen bei der Verarbeitung konkurrierender Operationen, die zu Verzögerungen führen.
• Es besteht die Möglichkeit, Samba ohne Unterstützung für das SMB1-Protokoll in smbd zu kompilieren. Um SMB1 in dem Konfiguration-Skript zu deaktivieren, wurde die Option „—without-smb1-server“ implementiert (betrifft nur smbd, die Unterstützung von SMB1 bleibt in den Clientbibliotheken erhalten).
• Mit der Verwendung von MIT Kerberos 1.20 wurde eine Funktion zur Bekämpfung des „Bronze Bit“-Angriffs (CVE-2020-17049) implementiert. Dies erfolgt durch die Übertragung zusätzlicher Informationen zwischen den Komponenten KDC und KDB. Das standardmäßig verwendete KDC auf Basis von Heimdal Kerberos hat das Problem im Jahr 2021 behoben.
• Beim Zusammenbau mit MIT Kerberos 1.20 im Controller Nach Abschluss des Transfers kann die Domain auf unser Hosting gerichtet werden. auf Basis von Samba wurde die Unterstützung für die Kerberos-Erweiterungen S4U2Self und S4U2Proxy eingeführt. Außerdem wurde die Möglichkeit der ressourcenspezifischen eingeschränkten Delegierung (RBCD, Resource Based Constrained Delegation) hinzugefügt. Zur Verwaltung von RBCD wurden in das Kommando „samba-tool delegation“ die Unterkommandos ‚add-principal‘ und ‚del-principal‘ integriert. Im standardmäßig verwendeten KDC auf Basis von Heimdal Kerberos wird der RBCD-Modus derzeit noch nicht unterstützt.
• Im integrierten DNS-Service wurde die Möglichkeit zur Änderung des Netzwerkports, der Anfragen entgegennimmt, bereitgestellt (zum Beispiel, um auf demselben System einen anderen DNS-Server zu starten, der bestimmte Anfragen an Samba weiterleitet).
• Im CTDB-Komponent, welcher für die Clusterkonfigurationen zuständig ist, wurden die Syntaxanforderungen für die Datei ctdb.tunables verringert. Bei der Erstellung von Samba mit den Optionen „—with-cluster-support“ und „—systemd-install-services“ wird der systemd-Service für CTDB installiert. Das Bereitstellen des Skripts ctdbd_wrapper wurde eingestellt — der ctdbd-Prozess wird nun direkt über den systemd-Service oder aus dem Initialisierungsskript gestartet.
• Die Einstellung ‚nt hash store = never‘ wurde implementiert, die das Speichern von „rohen“ (ohne Salt) Hashes der Passwörter von Active Directory-Nutzern verbietet. In der nächsten Version wird die Einstellung ‚nt hash store‘ standardmäßig auf „auto“ gesetzt, wobei der Modus „never“ angewendet wird, wenn die Einstellung ‚ntlm auth = disabled‘ vorhanden ist.
• Eine Wrapper-Lösung zur Ansprache der API der Bibliothek smbconf aus Python-Code wurde vorgeschlagen.
• Im Programm smbstatus wurde die Möglichkeit implementiert, Informationen im JSON-Format auszugeben (aktiviert durch die Option „—json“).
• Im Domaincontroller wurde die Unterstützung der Sicherheitsgruppe „Geschützte Benutzer“ implementiert, die in Windows Server 2012 R2 eingeführt wurde und unsichere Verschlüsselungstypen nicht zulässt (für Benutzer in der Gruppe wird die Unterstützung der NTLM-Authentifizierung und Kerberos TGTs basierend auf RC4 sowie eingeschränktes und uneingeschränktes Delegieren deaktiviert).
• Die Unterstützung für das Passwortspeicher und die Authentifizierungsmethode auf Basis von LanMan wurde eingestellt (die Einstellung „lanman auth = yes“ hat jetzt keine Bedeutung mehr).
  
  Quelle: opennet.ru