Izlaista Samba 4.17.0

Tika izlaista Samba 4.17.0 versija, kas turpina Samba 4 attīstību ar pilnvērtīgu domēna kontroliera un Active Directory pakalpojuma īstenojumu, kas ir saderīgs ar Windows 2008 īstenojumu un spēj apkalpot visas Microsoft atbalstītās Windows klientu versijas, tostarp Windows 11. Samba 4 ir daudzfunkcionāls servera produkts, kas piedāvā arī failu servera, drukāšanas pakalpojuma un identifikācijas servera (winbind) īstenojumu.

Galvenās izmaiņas Samba 4.17:

• Veiktas darbības, lai novērstu regresijas augstas slodzes SMB serveros, kas radās, pievienojot aizsardzību pret ievainojamībām, kas manipulē ar simboliskajām saitēm. No veiktajām optimizācijām jāmin sistēmas izsaukumu samazināšana, pārbaudot katalogu nosaukumus, un modināšanas notikumu neizmantošana konkurējošo operāciju apstrādē, kas noved pie aizkavēšanās.
• Tika nodrošināta iespēja salikt Samba bez SMB1 protokola atbalsta smbd. Lai atslēgtu SMB1, konfigurācijas skriptā ir pievienota opcija '--without-smb1-server' (ietekmē tikai smbd, klientu bibliotēkās SMB1 atbalsts saglabājas).
• Izmantojot MIT Kerberos 1.20, ir ieviesta iespēja pretoties "Bronze Bit" uzbrukumam (CVE-2020-17049), pateicoties papildu informācijas nodošanai starp KDC un KDB komponentēm. Problēma izmantotajā noklusējuma KDC, kas balstīts uz Heimdal Kerberos, tika novērsta 2021. gadā.
• Sastādīšanā ar MIT Kerberos 1.20 kontrolierī domēns Samba balstītajā risinājumā ir ieviests Kerberos paplašinājumu S4U2Self un S4U2Proxy atbalsts, kā arī pievienota resursu pamatota ierobežota deleģēšana (RBCD, Resource Based Constrained Delegation). RBCD pārvaldībai komandā 'samba-tool delegation' ir pievienotas apakškomandas 'add-principal' un 'del-principal'. Izmantotajā noklusējuma KDC, kas balstīts uz Heimdal Kerberos, RBCD režīms pagaidām netiek atbalstīts.
• Iebūvētajā DNS pakalpojumā ir pievienota iespēja mainīt tīkla portu, kas pieņem pieprasījumus (piemēram, lai palaistu uz tās pašas sistēmas citu DNS serveri, kas pāradresē noteiktus pieprasījumus uz Samba).
• CTDB komponentā, kas atbild par klasteru konfigurāciju darbību, ir samazinātas prasības ctdb.tunables faila sintaksei. Izmantojot opcijas «—with-cluster-support» un «—systemd-install-services» Samba būvēšanas laikā, ir nodrošināta systemd pakalpojuma uzstādīšana CTDB. Tika pārtraukta ctdbd_wrapper skripta piegāde — ctdbd process tagad tiek palaists tieši no systemd pakalpojuma vai no inicializācijas skripta.
• Ieviesa iestatījumu ‘nt hash store = never’, kas aizliedz «pliko» (bezzīļu) Active Directory lietotāju paroli hašu glabāšanu. Nākamajā versijā iestatījums ‘nt hash store’ pēc noklusējuma tiks iestatīts uz «auto», kurā «never» režīms tiks piemērots, ja ir aktivizēts iestatījums ‘ntlm auth = disabled’.
• Ieteikta saistība, lai piekļūtu API smbconf bibliotēkai Python valodā.
• Programmā smbstatus ir ieviesta iespēja izvadīt informāciju JSON formātā (ieslēdzama ar opciju «—json»).
• Domēna kontrolierī ir ieviesta atbalsts drošības grupai «Aizsargātie lietotāji», kura parādījās Windows Server 2012 R2 un neļauj izmantot nenoturīgus šifrēšanas tipus (lietotājiem grupā tiek atslēgta NTLM autentifikācija, RC4 bāzes Kerberos TGTs atbalsts, ierobežota un neierobežota delegācija).
• Atbalsts paroli krātuvei un LanMan bāzes autentifikācijas metodei ir pārtraukts (iestatījums «lanman auth = yes» tagad nav nozīmīgs).
  
  Avots: opennet.lv