Foi lançado o Samba 4.17.0, continuando o desenvolvimento da linha Samba 4 com a implementação completa do controlador de domínio e do serviço Active Directory, compatível com a implementação do Windows 2008 e capaz de atender todas as versões de clientes Windows suportadas pela Microsoft, incluindo o Windows 11. O Samba 4 é um produto de servidor multifuncional, que também fornece implementação de servidor de arquivos, serviço de impressão e servidor de identificação (winbind).
Mudanças principais no Samba 4.17:
- Trabalhou-se na correção de regressões de desempenho em servidores SMB sobrecarregados, que surgiram devido à adição de proteção contra vulnerabilidades que manipulam links simbólicos. Entre as otimizações realizadas, destaca-se a redução das chamadas de sistema na verificação de nomes de diretórios e a não utilização de eventos de despertar ao lidar com operações concorrentes que causam atrasos.
- Foi possibilitada a compilação do Samba sem suporte ao protocolo SMB1 no smbd. Para desativar o SMB1 no script de compilação configure, foi implementada a opção '—without-smb1-server' (isso afeta apenas o smbd, pois o suporte ao SMB1 permanece nas bibliotecas do cliente).
- Ao usar o MIT Kerberos 1.20, foi implementada a capacidade de combater o ataque 'Bronze Bit' (CVE-2020-17049), graças à transmissão de informações adicionais entre os componentes KDC e KDB. No KDC padrão baseado no Heimdal Kerberos, o problema foi resolvido em 2021.
- Ao compilar com o MIT Kerberos 1.20 no controlador de domínio baseado no Samba, foi implementado suporte para extensões Kerberos S4U2Self e S4U2Proxy, além de ser adicionada a possibilidade de delegação restrita baseada em recursos (RBCD, Resource Based Constrained Delegation). Para gerenciar o RBCD, foram adicionados os subcomandos ‘add-principal’ e ‘del-principal’ ao comando ‘samba-tool delegation’. No KDC padrão baseado no Heimdal Kerberos, o modo RBCD ainda não é suportado.
- No serviço DNS incorporado, foi possibilitada a alteração da porta de rede que recebe as solicitações (por exemplo, para executar outro servidor DNS no mesmo sistema, redirecionando certas solicitações para o Samba).
- No componente CTDB, responsável pelo funcionamento de configurações de cluster, as exigências para a sintaxe do arquivo ctdb.tunables foram reduzidas. Ao compilar o Samba com as opções “—with-cluster-support” e “—systemd-install-services”, a instalação do serviço systemd para o CTDB é garantida. A entrega do script ctdbd_wrapper foi interrompida — o processo ctdbd agora é iniciado diretamente a partir do serviço systemd ou de um script de inicialização.
- Foi implementada a configuração ‘nt hash store = never’ que proíbe o armazenamento de hashes de senhas de usuários do Active Directory sem sal. Na próxima versão, a configuração ‘nt hash store’ por padrão será definida como “auto”, onde o modo “never” será aplicado caso a configuração ‘ntlm auth = disabled’ esteja presente.
- Uma interface para acessar a API da biblioteca smbconf a partir de código em Python foi proposta.
- O programa smbstatus agora suporta a saída de informações no formato JSON (ativada pela opção “—json”).
- No controlador de domínio, foi implementado o suporte ao grupo de segurança “Usuários Protegidos”, que apareceu no Windows Server 2012 R2 e não permite o uso de tipos de criptografia inseguros (a autenticação NTLM e os TGTs do Kerberos baseados em RC4 são desativados para os usuários do grupo, além da delegação limitada e ilimitada).
- O suporte ao armazenamento de senhas e ao método de autenticação baseado em LanMan foi interrompido (a configuração “lanman auth = yes” agora não tem efeito).
Fonte: opennet.ru
