Samba 4.25.1 : la news dit first, la note dit latest, l'avis dit since 4.25

Trois feuilles sont punaisées sur le même poteau, et le mot du milieu n'est pas le même. La note de version dit latest. La news dit first. L'avis de sécurité ne choisit ni l'un ni l'autre : il dit toutes les versions depuis 4.25 où le module est là. Le jour, lui, est le 23 octobre 2026 sur les trois, à condition d'accepter deux ordres. La note met le mois d'abord, October 23, 2026. La news met le jour d'abord, 23 October 2026.

La note ouvre par : This is the latest stable release of the Samba 4.25 release series. Puis la phrase qui range le correctif. Elle corrige le bug 16276, qui a aussi le CVE-2026-109411. Et, tel qu'imprimé : As this only affects the recently release 4.25.0 version and only the newly introduced vfs_ceph_rgw module, we decided to ship this fix with this ordinary bugfix release. recently release, sans le -d. only deux fois. ordinary bugfix release. Je ne répare pas la phrase. Elle dit que seule la 4.25.0 tout juste sortie est touchée, et seul le module, et que le correctif part donc avec une rustine ordinaire.

La news dit first, alors que la 4.25.0 est déjà sur le même panneau

La page des nouvelles, entrée du 23 octobre : Samba 4.25.1 Available for Download. La phrase d'après : This is the first stable release of the Samba 4.25 release series. First. Pas latest. L'archive non compressée est signée avec GnuPG, identifiant AA99442FB680B620. Un lien vers un patch contre la 4.25.0. Un renvoi vers la note.

Sur la même page, plus bas, l'entrée du 24 September 2026 : Samba 4.25.0 Available for Download, et This is the latest stable release of the Samba 4.25 release series. La série avait déjà une stable, annoncée là, un mois avant. L'entrée du 12 October 2026, Samba 4.24.8, dit aussi latest pour la série 4.24, pas first. Le 23 octobre, la 4.25.1 reçoit first. La note de la 4.25.1, elle, dit latest. La page de notes que j'ai lue n'imprime pas l'identifiant GnuPG. Je ne dis pas que le tarball n'est pas signé. Je dis que la news l'imprime et que la note ne l'imprime pas.

L'avis ne dit pas « seulement 4.25.0 »

L'annonce titre le sujet : contournement de contrôle d'accès via une ouverture insensible à la casse de vfs_ceph_rgw. La ligne d'identifiant dit CVE ID#: 2026-109411. Le préfixe CVE est dans l'étiquette, pas devant le numéro. La note et le nom du fichier, eux, écrivent CVE-2026-109411.

La ligne Versions : All versions since 4.25 where vfs_ceph_rgw is present. Depuis 4.25, là où le module est présent. La note disait only la 4.25.0. Je ne décrète pas que les deux phrases décrivent le même intervalle. L'une a un only et un numéro de rustine. L'autre a un since et une condition sur le module.

Le résumé, pour le garder à sa place. Sur un partage qui utilise le module, une ouverture avec une casse différente de celle du fichier, disposition FILE_OPEN_IF, peut passer à côté du contrôle sur l'objet existant : le serveur traite la demande comme une création, et l'ouverture d'après retombe sur l'objet déjà là. Un utilisateur authentifié peut alors lire ou écraser les fichiers d'un autre. Le score imprimé : CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N (8.1). La note de version n'a pas ce vecteur. Elle n'a pas non plus le contournement : poser case sensitive = yes sur le partage touché, parce que le nom d'une autre casse est alors un autre objet. La phrase prévient que ça change le comportement pour les clients qui comptent sur l'insensibilité à la casse. Pour savoir si le partage est concerné, l'avis dit de chercher ceph_rgw dans smb.conf, une ligne vfs objects = ceph_rgw.

La disponibilité du correctif, telle qu'imprimée : Samba 4.25.1 have been issued to correct the defect. have, avec un sujet au singulier. Je n'accorde pas. La note, elle, avait dit qu'on glissait ce correctif dans une rustine ordinaire. L'avis dit de mettre à jour vers ces sorties, ou d'appliquer le patch.

Le bug est signé deux fois, et l'employeur change de feuille

Dans la note, le bug 16276 apparaît deux fois. Une fois sous Vinit Agnihotri, adresse vagnihot@redhat.com. Une fois sous Anoop C S, adresse anoopcs@samba.org. L'avis dit : signalé à l'origine par hataehoon, correctifs fournis par Vinit Agnihotri of IBM et Anoop C S of IBM et l'équipe Samba. redhat.com et samba.org d'un côté, IBM de l'autre. Je ne tranche pas. Les deux feuilles impriment deux rattachements, et je n'ai pas de troisième feuille qui les accorde.

Le reste de la note n'est pas le CVE. Build macOS, build i686, un renommage qui duplique au lieu de remplacer, CTDB, un time machine max size qui ignore un flottant. Le poteau de la news, pour la 4.25.1, ne liste rien de tout ça. Il dit first, et il donne la clé.

✍️ À toi : la feuille que tu as eue en main, la note, la news ou l'avis, et le mot qui y était pour la 4.25.1. Latest est la note. First est la news. Since 4.25 est l'avis.

La note du October 23, 2026 appelle la 4.25.1 la dernière stable de la série, et elle limite le CVE-2026-109411 à la 4.25.0 et au module vfs_ceph_rgw, dans une rustine qu'elle dit ordinaire. La news du 23 October 2026 appelle la même sortie la première stable de la série, alors que l'entrée 4.25.0 du 24 septembre, sur cette page, disait déjà latest. L'avis dit toutes les versions depuis 4.25 où le module est présent, imprime un CVSS 8.1, et écrit Samba 4.25.1 have been issued.