More pdb_ads stuff

Add tldap_pull_uint32

mount.cifs: update the mount.cifs manpage

Add a new section entitled FILE AND DIRECTORY OWNERSHIP AND PERMISSIONS
that attempts to cover information about this topic. Change the uid=
and gid= options to refer to that section. Add new varlistentries for
forceuid, forcegid and dynperm.

Also update the information about how the program behaves when installed
as a setuid binary.

Signed-off-by: Jeff Layton <jlayton@redhat.com>

Make "net sam list" work for groups, aliases and builtins

Return full info in pdb_ads_search_users()

Fix syntax of sending a delete request

req_del and req_abandon are ASN1_APPLICATION_SIMPLE

Ok, ASN1_APPLICATION everywhere was too easy :-)

Fix after making tldap independent of ldap.h

s3-groupdb: fix enum_aliasmem in ldb branch.

It is totally valid to have an alias with no members.

Tridge, please check.

Found by RPC-SAMR torture test.

Guenther

s3-samr: fix return code of _samr_LookupRids when run with pdb_ldap.

when _samr_LookupRids is called with no rids, it needs to return
NT_STATUS_NONE_MAPPED (not NT_STATUS_NO_MEMORY).

Found by RPC-SAMR torture test.

Guenther

s3-samr: SetGroupInfo level 1 should not return NT_STATUS_INVALID_INFO_CLASS.

Found by RPC-SAMR torture test.

Guenther

mount.cifs: properly check for mount being in fstab when running setuid root (try#3)

This is the third attempt to clean up the checks when a setuid
mount.cifs is run by an unprivileged user. The main difference in this
patch from the last one is that it fixes a bug where the mount might
have failed if unnecessarily if CIFS_LEGACY_SETUID_CHECK was set.

When mount.cifs is installed setuid root and run as an unprivileged
user, it does some checks to limit how the mount is used. It checks that
the mountpoint is owned by the user doing the mount.

These checks however do not match those that /bin/mount does when it is
called by an unprivileged user. When /bin/mount is called by an
unprivileged user to do a mount, it checks that the mount in question is
in /etc/fstab, that it has the "user" option set, etc.

This means that it's currently not possible to set up user mounts the
standard way (by the admin, in /etc/fstab) and simultaneously protect
from an unprivileged user calling mount.cifs directly to mount a share
on any directory that that user owns.

Fix this by making the checks in mount.cifs match those of /bin/mount
itself. This is a necessary step to make mount.cifs safe to be installed
as a setuid binary, but not sufficient. For that, we'd need to give
mount.cifs a proper security audit.

Since some users may be depending on the legacy behavior, this patch
also adds the ability to build mount.cifs with the older behavior.

Signed-off-by: Jeff Layton <jlayton@redhat.com>

s3-samr: fix _QueryDisplayInformation r->out.returned_size.

*r->out.returned_size needs to be 0 if nothing was enumerated.

Found by RPC-SAMR torture test.

Guenther

s3-samr: remove total_data_size variable in _samr_QueryDisplayInfo.

Guenther

s3-samr: let _samr_SetGroupInfo level 3 just pass with success.

Guenther

s3-samr: _samr_EnumDomain{Users,Groups} need to return an emtpy array even for builtin domain.

Found by RPC-SAMR torture test.

Guenther

s4-smbtorture: skip samr MultipleMember alias tests for 3 as well as we do already for s4.

Guenther

s3-samr: cosmetic fixes for _samr_QueryDisplayInfo.

use the variables of the struct samr_QueryDisplayInfo directly to make
it easier to track where variables are defined from.

Guenther

testsuite/nsswitch/get{gr,pw}ent_r.c(dump_{gr,pw}ent): fixed wrong condition.

When fopen() fails it return NULL, so condition where return value
less than zero never evaluated to truth.

Found by cppcheck.

lib/tdb/tools/tdbtorture.c: fixed memory leak.

Found by cppcheck:
[lib/tdb/tools/tdbtorture.c:326]: (error) Memory leak: pids

s3/docs: Fix example.

The 'ldap suffix' is not added automatically to the 'ldap admin dn'.
This fixes bug #5584.
Thanks to Stefan Bauer <stefan.bauer [at] plzk.de> for reporting!

Karolin

Attempt to fix the build without system-ldap.

I really tried, but I knew I would miss something... :-)

s3/passdb: Fix debug message: 'net setmaxrid' does not exist.

This is aiming bug #6351.

Karolin

Add an early prototyp of pdb_ads.c.

The purpose of this module is to connect to a locally running samba4 ldap
server for an alternative "Franky" setup. Right now it contains a couple of
gross hacks: For example it just takes the s4-chosed RID directly as uid/gid...

Checking in tldap and pdb_ads now, I think 3777 insertions are enough for a
start...

Allow access as SYSTEM on a privileged ldapi connection

This patch creates ldap_priv/ as a subdirectory under the private dir with the
appropriate permissions to only allow the same access as the privileged winbind
socket allows. Connecting to ldap_priv/ldapi gives SYSTEM access to the ldap
database.

Add some samba-style tldap utility functions

Add the early start of an async ldap library

There's a lot of things this does not do yet: For example it does not parse the
reply blob in the sasl bind, it does not do anything with controls yet, a lot
of the ldap requests are not covered yet. But it provides a basis for me to
play with a pdb_ads passdb module.

s3:smbd: FSCTL_PIPE_TRANSCEIVE on a none IPC$ share should give NOT_SUPPORTED

metze

s3:smbd: return the same things as Windows 7 for SMB2 Ioctl responses

metze

Fix some nonempty blank lines

Use data_blob_null instead of data_blob(NULL, 0)

Fix an uninitialized variable read in async_connect_send

Allow AF_UNIX for open_socket_out

s3-winbindd: add some debug statements while tracking down a bug.

Guenther

nss_wrapper: rename nwrap_cache_{re,un}load as per metzes request.

Guenther

Make cli_ftruncate async. Also add a simple test.
Jeremy.

nss_wrapper: add support for loading nss_winbind.so via WINBIND_SO_PATH env.

Guenther

nss_wrapper: fill in module nwrap_backend.

Guenther

nss_wrapper: add missing return in nwrap_module_init().

Guenther

nss_wrapper: add skeleton for module nwrap_backend.

Guenther

nss_wrapper: add capability to load nss modules.

Guenther

nss_wrapper: add struct nwrap_backend.

Guenther

s3:smbd: split smbd_smb2_flush() into a tevent_req based _send()/_recv() pair

metze

s3:smbd: split smbd_smb2_create() into a tevent_req based _send()/_recv() pair

metze

s3:smbd: fix the build in smb2_ioctl.c

metze

s3:smbd: add support for SMB2 Ioctl FSCTL_DFS_GET_REFERRALS

metze

s3:smbd: add support for STATUS_BUFFER_OVERFLOW to SMB2 Ioctl

metze

s3:smbd: keep the chain_fsp for SMB2 requests

metze

s3:smbd: fix the logic for compounded requests

metze

s3:smbd: only setup the dyn iovec if a a dyn blob is given

Otherwise leave the default in there, which takes care of
padding for compounded requests.

metze

s3:smbd: add support for SMB2 Ioctl FSCTL_PIPE_TRANSCEIVE on IPC$

metze

s3:smbd: add support for SMB2 Read on IPC$

metze

s3:smbd: add support for SMB2 Write on IPC$

metze

s3:smbd: add support for SMB2 Create on IPC$

metze

s3:smbd: add support for SMB2 Ioctl

We don't implement any level yet.

metze

nss_wrapper: add cross checking test to testsuite.

Guenther

nss_wrapper: add tests for getgrent_r to testsuite.

Guenther

nss_wrapper: add tests for getpwent_r to testsuite.

Guenther

nss_wrapper: fix segfault in nwrap_gr_copy_r()

metze

s3/docs: Fix typo.

Karolin

s3:smbd: add missing return statements to the SMB2 write error cases

metze

s3:smbd: add missing return statements to the SMB2 read error cases

metze

nss_wrapper: rename test_nwrap_env to test_nwrap_enumeration in testsuite.

Guenther

nss_wrapper: add more coherency checks for user and group enumeration.

Guenther

s3:smbd: split smbd_smb2_write() into tevent_req based *_send()/_recv() functions

metze

s3:smbd: split smbd_smb2_read() into tevent_req based *_send()/_recv() functions

metze

s3:smbd: make smbd_server_connection_terminate() a macro

metze

s3:smbd: implement smbd_smb2_request_error/done() as macros on top of the _ex() function

metze

s3:smbd: add support for printers to SMB2 Create

This is not tested, but the code looks like the
for SMB1, so it's likely to work:-)

metze

source3/torture/vfstest.c(process_file): fixed file descriptor leak.

Found by cppcheck:
[./source3/torture/vfstest.c:400]: (error) Resource leak: file

Fix a couple of warnings in log2pcaphex.c

Fix bug 6392: Exit log2pcaphex if a requested output file can't be opened

Thanks to Slava Semushin <php-coder@altlinux.org> for reporting!

fixed handling of change notify buffer overruns

When the notify buffer overruns and there are no pending notify
requests, the notify buffer doesn't actually get destroyed, it just
gets put in a state where new notifies are discarded and the next
notify change request will return 0 changes.

pidl Fix samba4.pidl.typelist test after addition of 'double'

clikrb5: Prefer krb5_free_keytab_entry_contents to krb5_kt_free_entry.

Both functions exist in MIT Kerberos >= 1.7, but only
krb5_free_keytab_entry_contents has a prototype.

s3:smbd: ignore NTCREATEX_OPTIONS_SYNC_ALERT and NTCREATEX_OPTIONS_ASYNC_ALERT for SMB2 Create

This should make the Windows Explorer happier.

metze

s3:smbd: call set_current_service() when a SMB2 tcon will be used

metze

s3:smbd: fix potential fsp leak if print_fsp_open() fails

metze

libwbclient: Attempt to fix build on AIX

s3: map NetBSD's errno on posix open calls for symlinks

This is well undocumented but NetBSD returns EFTYPE on O_NOFOLLOW open calls on
symlinks.

Change smbd_smb2_request_error() to add a __location__.
This allows quick identification of smb2 parsing errors.
Jeremy.

nss_wrapper: remove getgrouplist from nwrap_ops table.

Guenther

gitignore: remove traces of source4/libcli/auth.

This makes it possible clean up a master checkout with git clean -x -f -d and
build samba4 afterwards.

Guenther

s4-smbtorture: fix comment in RPC-SAMR-LARGE-DC test.

Andrew, I think you wanted to print this instead.

Guenther

nsstest: Relicense header file to LGPLv3+

Add NTLMSSP SPNEGO to smb2 auth. Tested with Win7.
Jeremy.

Increase tevent version for tevent_req_notify_callback()

Add tevent_req_notify_callback

This is necessary for requests that have multiple results. Examples would be
SMBEcho and ldap_search.

nss_wrapper: call the nwrap_files_*() from nwrap_files_*_r()

We should not call the public functions, as this could lead
to a recursive loop when we have multiple nwrap backends
in future.

This also fixes the build if --enable-nss-wrapper was not
given to ./configure.

metze

Only err on readability if writev_send was explicitly asked to do so

A socket might be readable for other reasons

nss_wrapper: more coherence tests for group membership.

Guenther

nss_wrapper: add coherency tests for get{gr,pw}{nam,id}.

Guenther

nss_wrapper: refactor test_nwrap_membership_user() in testsuite.

Guenther

nss_wrapper: make full talloced copies of struct passwd and group in testsuite.

Guenther

s4:torture Cut the RPC-SAMR-LARGE-DC test down to size

This removes the validation of the estimated number of accounts,
because MS-SAMR 3.1.5.5.1.1 makes clear the number returned cannot be
relied apon.

I've also converted a bit more of the test to use torture_assert(),
and where that is impractical, to print error messages when things
fail.

Andrew Bartlett

s4:torture assert that we get a Mailslot allocated before we dereference

socket_wrapper Cope with SOCK_CLOEXEC and SOCK_NONBLOCK flags

Heimdal will, on supporting systems, set these flags in the type
argument of socket(), causing breakage when combined with
socket_wrapper.

For background on these flags, see http://lwn.net/Articles/281965/

Andrew Bartlett

changed the auth path to use extended DN ops to avoid non-indexed searches

Logs showed that every SAM authentication was causing a non-indexed
ldb search for member=XXX. This was previously indexed in Samba4, but
since we switched to using the indexes from the full AD schema it now
isn't.

The fix is to use the extended DN operations to allow us to ask the
server for the memberOf attribute instead, with with the SIDs attached
to the result. This also means one less search on every
authentication.

The patch is made more complex by the fact that some common routines
use the result of these user searches, so we had to update all
searches that uses user_attrs and those common routines to make sure
they all returned a ldb_message with a memberOf filled in and the SIDs
attached.

fixed ldb rename now that we have unique indexes

With unique indexes, any rename of a record that has an attribute that
is uniquely indexed needs to be done as a delete followed by an add,
otherwse you'll get an error that the attribute value already exists.

add gendb_search_single_extended_dn()

This function searches for a single record using a given filter,
adding the extended-dn control so that any returned DNs will have the
GUID and SID fields returned. This will be used in the sam auth code
to prevent us doing a member= search for the groups, which invokes an
unindexed search.