Ua hōʻike ʻia ka hoʻokuʻu ʻana o Samba 4.17.0, ka mea i hoʻomau i ka hoʻomohala ʻana o ka lālā Samba 4 me ka hoʻokō piha ʻana o kahi mana domain a me ka lawelawe Active Directory, kūpono me ka hoʻokō ʻana o Windows 2008 a hiki ke lawelawe i nā mana āpau o nā mea kūʻai aku Windows kākoʻo ʻia e Microsoft, me ka Windows 11. ʻO Samba 4 he huahana kikowaena multifunctional, e hāʻawi pū ana i ka hoʻokō ʻana i kahi kikowaena faila, kahi lawelawe paʻi, a me kahi kikowaena ʻike (winbind).
Nā hoʻololi koʻikoʻi ma Samba 4.17:
- Проведена работа по устранению регрессий в производительности нагруженных SMB-серверов, появившихся в результате добавления защиты от уязвимостей, манипулирующих символическими ссылками. Из проведённых оптимизаций упоминается сокращение системных вызовов при проверке имени каталога и не использование wakeup-событий при обработке конкурирующих операций, приводящих к задержкам.
- Предоставлена возможность сборки Samba без поддержки протокола SMB1 в smbd. Для отключения SMB1 в сборочном скрипте configure реализована опция «—without-smb1-server» (влияет только на smbd, в клиентских библиотеках поддержка SMB1 сохраняется).
- При использовании MIT Kerberos 1.20 реализована возможность противодействия атаке «Bronze Bit» (CVE-2020-17049), благодаря передаче дополнительной информации между компонентами KDC и KDB. В используемом по умолчанию KDC на базе Heimdal Kerberos проблема была устранена в 2021 году.
- При сборке с MIT Kerberos 1.20 в контроллере домена на базе Samba реализована поддержка Kerberos-расширений S4U2Self и S4U2Proxy, а также добавлена возможность ограниченного делегирования, основанного на ресурсах (RBCD, Resource Based Constrained Delegation). Для управления RBCDВ в команду «samba-tool delegation» добавлены подкоманды ‘add-principal’ и ‘del-principal’. В применяемом по умолчанию KDC на базе Heimdal Kerberos режим RBCD пока не поддерживается.
- Во встроенном DNS-сервисе предоставлена возможность изменения сетевого порта, принимающего запросы (например, для запуска на той же системе другого DNS-сервера, перенаправляющего определённые запросы к Samba).
- В компоненте CTDB, отвечающем за работу кластерных конфигураций, снижены требования к синтаксису файла ctdb.tunables. При сборке Samba с опциями «—with-cluster-support» и «—systemd-install-services» обеспечена установка сервиса systemd для CTDB. Прекращена поставка скрипта ctdbd_wrapper — процесс ctdbd теперь запускается напрямую из сервиса systemd или из скрипта инициализации.
- Реализована настройка ‘nt hash store = never’ запрещающая хранение «голых» (без соли) хэшей паролей пользователей Active Directory. В следующей версии настройка ‘nt hash store’ по умолчанию будет выставлена в значение «auto», при котором режим «never» будет применяться в случае наличия настройки ‘ntlm auth = disabled’.
- Предложена обвязка для обращения к API библиотеки smbconf из кода на языке Python.
- В программе smbstatus реализована возможность вывода информации в формате JSON (включается опцией «—json»).
- В контроллере домена реализована поддержка группы безопасности «Защищенные пользователи», появившейся в Windows Server 2012 R2 и не допускающей использование ненадёжных типов шифрования (для пользователей в группе отключается поддержка аутентификации NTLM, Kerberos TGTs на базе RC4, ограниченного и неограниченного делегирования).
- Прекращена поддержка хранилища паролей и метода аутентификации на базе LanMan (настройка «lanman auth = yes» теперь не имеет значения).
Source: opennet.ru