upstream: don't set the PerSourceNetBlockSize IPv6 mask if sscanf

didn't decode it. From Mingjie Shen via GHPR598

OpenBSD-Commit-ID: c722014e735cbd87adb2fa968ce4c47b43cf98b0

upstream: give ssh-agent more time to start in tests; requested in

GHPR602

OpenBSD-Regress-ID: 7d771db2c1d4a422e83c3f632ba1e96f72a262b8

upstream: When testing PKCS11, explicitly allow the module path in

ssh-agent.

Allows testing of PKCS11 modules outside system directories.

From Morgan Jones via GHPR602

OpenBSD-Regress-ID: 548d6e0362a8d9f7d1cc01444b697a00811ff488

upstream: When loading FIDO2 resident keys, set the comment to the

FIDO application string. This matches the behaviour of ssh-keygen -K

From Arian van Putten via GHPR608

OpenBSD-Commit-ID: 3fda54b44ed6a8a6f94cd3e39e69c1e672095712

upstream: pkcs11_fetch_ecdsa_pubkey: use ASN1_STRING accessors

In anticipation of davidben and beck making ASN1_STRING opaque in
OpenSSL 4 with the aim of enabling surgery to make the X509 data
structure less bad [1], we need to use dumb accessors to avoid build
breakage. Fortunately only in one spot.

This is OpenSSL 1.1 API and available in all members of the fork family.

ok beck djm

[1]: https://github.com/openssl/openssl/issues/29117

OpenBSD-Commit-ID: 0bcaf691d20624ef43f3515c983cd5aa69547d4f

Update OSSFuzz link to current bug tracker.

Add VM CI and CIFuzz status badges.

upstream: unit tests for sshbuf_get_nulterminated_string()

OpenBSD-Regress-ID: cb0af1e4d6dcc94e263942bc4dcf5f4466d1f086

upstream: add a sshbuf_get_nulterminated_string() function to pull a

\0- terminated string from a sshbuf. Intended to be used to improve parsing
of SOCKS headers for dynamic forwarding.

ok deraadt; feedback Tim van der Molen

OpenBSD-Commit-ID: cf93d6db4730f7518d5269c279e16b172b484b36

upstream: Free opts in FAIL_TEST. It should always be NULL anyway so

this is a no-op, but it should placate Coverity CID 405064.

OpenBSD-Regress-ID: 06789754de0741f26432c668fad8b9881c14c153

upstream: Plug leaks while parsing Match blocks. Coverity CID

469304, ok djm@

OpenBSD-Commit-ID: f9b79b86879a953ad034e6b92a398265b251bea7

upstream: Plug leaks while parsing Match blocks. Coverity CID

515634, ok miod@ djm@

OpenBSD-Commit-ID: c7932eddecd47e5122e945246a40c56ffa42a546

Pull in rev 1.17 for spelling fix.

Prompted by github PR#609 from Edge-Seven.

upstream: Export XDG_RUNTIME_DIR to child ssh sessions

Currently setusercontext(LOGIN_SETALL) does create the directory in
/tmp/run/user, since LOGIN_SETXDGENV is part of LOGIN_SETALL, but the
env variable wasn't exported.

ok djm@

OpenBSD-Commit-ID: 02b8433f72759b3a07b55cbc5a7cdb84391b0017

upstream: don't strnvis() log messages that are going to be logged

by sshd-auth via its parent sshd-session process, as the parent will also run
them though strnvis().

Prevents double-escaping of non-printing characters in some log
messages. bz3896 ok dtucker@

OpenBSD-Commit-ID: d78faad96a98af5269d66ddceee553cf7d396dfe

Remove obsolete CVSID.

upstream: Ensure both sides of the test are non-NULL instead of just

either. Coverity CID 443285.

OpenBSD-Regress-ID: aa90e57b1bc8efce9e50734a07a8ffec0680059a

Move libcrypto init check into entropy.c.

This prevents link errors with the openbsd-compat tests when the linker
tries to bring in all the logging bits.

seccomp sandbox: allow uname(3)

The uname(3) syscall is utilized by zlib-ng on RISC-V to decide whether
the kernel handles VILL bit of V extension properly (by checking the
kernel version against 6.5).

Allow it in the seccomp sandbox.

Signed-off-by: Icenowy Zheng <uwu@icenowy.me>

Remove remaining OpenSSL_add_all_algorithms() calls.

We already have OPENSSL_init_crypto() in the compat layer (now with a
check of its return code, prompted by tb@). Prompted by github PR#606
from Dimitri John Ledkov.  ok beck@

upstream: Remove calls to OpenSSL_add_all_algorithms()

and ERR_load_crypto_strings(). These are no-ops in LibreSSL, and in
Portable have been mostly replaced by a call to OPENSSL_init_crypto()
in the compat layer.  ok tb@

OpenBSD-Commit-ID: 4c3e0af10fe276766054eda34428a37a5606d3ea

upstream: sync support for systems that lack __builtin_popcount() from

portable

unused on OpenBSD (nothing sets MISSING_BUILTIN_POPCOUNT), but it
makes syncing much easier.

OpenBSD-Commit-ID: 496446300d82615b24f83eca886b8fabdbee445b

upstream: update our ML-KEM implementation to upstream libcrux

v0.0.4

tested/ok tb@

OpenBSD-Commit-ID: 525a62549efbf53492adcb2c57e4872cdbaeed62

upstream: sshkey_ec_validate_public: zap trailing blank I missed on

review

OpenBSD-Commit-ID: b296bd6056f33fd567ca0d5e9123dac1ec00f037

Simplify git command to avoid yaml syntax error.

Don't use OpenSSL's ed25519 if built without EC.

Explicitly check for OPENSSL_NO_EC, since otherwise the test will link
but then fail at runtime.

octal-escape the colon character

Apparently these are YAML magic when followed by whitespace

try single quotes instead of escaped quotes

escape quotes in yaml

upstream: Escape SSH_AUTH_SOCK paths that are sent to the shell as

setenv commands.

Unbreaks ssh-agent for home directory paths that contain whitespace.

Based on fix from Beat Bolli via bz3884; feedback/ok dtucker@

OpenBSD-Commit-ID: aaf06594e299940df8b4c4b9f0a1d14bef427e02

upstream: sk-dummy.so needs sshlog() stub after ed25519-openssl.c

change

OpenBSD-Regress-ID: 50b7f49021b8085728d0544275e141fb1bf4a2b5

upstream: unit test for stringlist_append() and stringlist_free()

OpenBSD-Regress-ID: a3a4dae538c831b3810f69abc34ad8504dc3c460

upstream: link against ed25519-openssl.c instead of ed25519.c

OpenBSD-Regress-ID: f789d46e99d2598929e3c2d00b45c47cc3102501

upstream: Cope with recent changes and don't link hash.c.

OpenBSD-Regress-ID: 577ef2f36ee592528448e8c0f33499e2e3512054

upstream: Remove some unnecessary checks in

sshkey_ec_validate_public()
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Checking nQ == infinity is not needed for cofactor 1 curves.
Checking x and y coordinates against order is not needed either.

patch from Szilárd Pfeiffer, with further refinement by tb@
ok tb@

OpenBSD-Commit-ID: ef985e2be7c64e215d064757d3fc65eb181e8ede

upstream: move stringlist_append() and stringlist_free() to misc.c

OpenBSD-Commit-ID: 7d047bbff6964b9abbc04e9b3e2e1b4cc1db0aea

upstream: cleanup file descriptors across PKCS#11 client/helper

execution; ok markus

OpenBSD-Commit-ID: 993628a5b361e30aa48bbb4c07667a280f3f23ab

Support using git for OpenBSD src tree tests.

Add OpenBSD 7.8 test target.

check PAM user against previous user, not pw_name

Avoids early fatal() if the user doesn't exist.

Reported by Viswesh Narayanan; ok dtucker@

skip pkcs11 tests when built --without-openssl

add sshlog() replacement to sk-dummy.so

rename openbsd-compat sha2.h -> bsd-sha2.h

avoids confusion with system header when included from files under
openbsd-compat/

fix linking for sk-dummy.so, used in tests

upstream: don't link hash.c

OpenBSD-Regress-ID: a145f09c1efb1fcd3924544463f1f94f5d4805c0

upstream: Prepare for gcc 3 leaving the building, COMPILER_VERSION

can no longer get set to "gcc3".

OpenBSD-Regress-ID: 02351ea947975b80be60b9a8c6e4dbb57789e890

upstream: Check tmux version and skip if too old. ok djm@

OpenBSD-Regress-ID: fb62024eb753c61b4d78402ec8378af839fad26c

upstream: move crypto_hash_sha512() to be inline in crypto_api.h, saves

about 0.5kb per binary and makes life easier for portable; with/ok dtucker@

OpenBSD-Commit-ID: 672d7390f78bb6581c12661d7f5adc8a9c6be564

upstream: support ed25519 signatures via libcrypto. Mostly by Jeremy

Allison Feedback tb@, ok tb@ markus@

OpenBSD-Commit-ID: e8edf8adffd5975d05769dde897df882d7933526

upstream: Activate UnusedConnectionTimeout only after last channel

has closed. Previously UnusedConnectionTimeout could fire early after a
ChannelTimeout.

This was not a problem for the OpenSSH client because it terminates
once all channels have closed but could cause problems for other
clients (e.g. API clients) that do things differently.

bz3827; ok dtucker

OpenBSD-Commit-ID: ff2e4607cbd4e600de3c8a5ece3b0e4bb641ed8f

upstream: Prepare for gcc 3 leaving the building, COMPILER_VERSION

can no longer get set to "gcc3".

OpenBSD-Commit-ID: 98eefed432ff8253b307002e20d28da14b93e7e3

upstream: more explicit synchronisation around killing tmux sessions

between runs.

OpenBSD-Regress-ID: 1735f5cb13ad281e869ab998c7d49b692ee3ed47

upstream: remove debugging junk

OpenBSD-Regress-ID: 3247e0ac98ae4cfe4eede871ef424d166e29e828

upstream: just skip the test if $PATH or $HOME has whitespace in it

OpenBSD-Regress-ID: ccf75a29d1a300a35f63be0e4f11ad5276756275

upstream: quote paths; avoids test failure when run from a path with a

space in it

OpenBSD-Regress-ID: e4b7bffc289f10d47c50c02dd70b0323078a83b4

upstream: fix test for executability of tmux

OpenBSD-Regress-ID: a18119876ecfd95edb78225b086ac668eb0977ab

upstream: add some more synchronisation to avoid a race between

command entry and ^C that showed up on the portable regress tests.

OpenBSD-Regress-ID: 5527e74aed1b008aa7e5223ca5a84aedecd973d4

upstream: Always create logfiles. Should prevent "can't operate on

symlink" warnings during test runs.

OpenBSD-Regress-ID: 65cf5ce3c8b87b5609f1f3ea142b4f381128dc33

bsd-openpty: include stdio.h for snprintf

include tmux in CI package list

Detect tmux at configure time and pass to tests.

ok djm@

Update LibreSSL versions and add 4.2.0.

upstream: regression test for "interactive" ssh with a PTY attached,

using tmux

would have likely caught the ControlPersist regression in 10.1.

feedback nicm@

OpenBSD-Regress-ID: d4d709c08657769cb5691893cc98f34b6f537e76

Retire macos-13 runners, add Intel-specific ones.

If we have nfds_t, check if it's int or long.

Should fix build on very old Mac OS X, eg 10.3.  Spotted and patch tested
by Sevan Janiyan.

link ssh against ssh-pkcs11.o

Should fix PIN entry for direct use of PKCS11Provider in ssh(1)
bz3879

upstream: regress test for PKCS#11 directly in ssh (not via ssh-agent)

would have caught bz3879

OpenBSD-Regress-ID: ceafb1e9a6c07185cc0cb0589f3170489a516123

upstream: missed a case in previous

OpenBSD-Commit-ID: 271c5602b5e719ee3def19dbd9a33328b4fa7edc

upstream: don't try to pledge() the client if a PKCS11Provider is

in use

OpenBSD-Commit-ID: 445b2bf4b1e36e515f4d888f35244fd2dcfbb566

upstream: mention this is for both ssh-pkcs11.c and

ssh-pkcs11-client.c

OpenBSD-Commit-ID: 26eff4b9a328fa056e98b997cb57254639e48fda

mdoc2man: process `Dl` macros

`Dl` marks a single line as 'literal'. Since we don't output single
lines differently in literal vs regular mode (we only insert line
breaks for multi-line blocks in literal mode), we can just skip it.

mdoc2man: support `Ns` inside `Ic`

When encountering an `Ns` mdoc macro ('no space') inside an `Ic` block
('command'), such as for 'lines=number' in ssh-keygen.1, `mdoc2man`
just output the macro instead of processing it.

This adds processing for `Ns` when seen inside an `Ic` block.

gitignore: ignore all *~ files

This is a common backup style.

bsd-misc: include sys/ioctl.h

This file uses ioctl() to implement some fallback functions, but
doesn't include sys/ioctl.h for it.

don't leak PAM handle on repeat invocations

Reported by Casper Dik via bz3882; ok dtucker@

Switch OpenBSD VMs to use doas instead of sudo.

OpenBSD 7.3 packages have been removed from the mirrors so we can't
install sudo for it any more, so switch to the native doas utility.

check whether diff accepts -N

upstream: test remote/remote recursive transfers where the source

path ends in ".."

OpenBSD-Regress-ID: 2f42078cfcee986d08b5d135968b8de6186c0003

upstream: test recursive transfers, including cases where the

source path ends in ".."

OpenBSD-Regress-ID: a38e3dbc86f6b7a95605784dcc601f17ede9c3f0

upstream: test implicit destination path selection when source path

ends with ".."

OpenBSD-Regress-ID: 42a88e7cdceee8a83879f5730199084ee4a95902

upstream: similar to scp, fix implicit destination path selection

when source path ends with ".."; ok deraadt@

OpenBSD-Commit-ID: 9b8d2a662d96b241293a88b3ea21f2419bfc4812

upstream: when using the SFTP protocol for transfers, fix implicit

destination path selection when source path ends with ".."; ok deraadt@
bz3871

OpenBSD-Commit-ID: d75b3b006386c5302ed4f67c4add18464ab36a0b

upstream: Import regenerate moduli.

OpenBSD-Commit-ID: 8512e01cf917dca6455be561d66db8eeb49f3f0b

depend

upstream: clean up more thoroughly between tests

OpenBSD-Regress-ID: c8394eae7547374a8fc43d03d865539e2917ea50

upstream: simplify

OpenBSD-Regress-ID: 8e91a2a5c1eb50128de3be72118b544d73a86673

upstream: don't abuse SSHKEY_FLAG_EXT to signal that a key is in

the agent, as that triggers special handling on sshkey_free()

OpenBSD-Commit-ID: 2ae2247babd2db167a30cf7a4f7eae4f26c000a8

upstream: downgrade a useless error() -> debug()

OpenBSD-Commit-ID: 5b0c9bcddb324f8bed2c8e8ffe9c92d263adc2d9

upstream: silence "mm_log_handler: write: Broken pipe" logspam

OpenBSD-Commit-ID: bcf7c6ea509e755bd5a7cd567ff7cad725111a14

Add tracking for 10.2 branch.

complete PKCS#11 stubs and move to ssh-pkcs11.c

Should unbreak --disable-pkcs11 builds

some fixes to p11_setup

1. Use the ssh-keygen under test and not the one in $PATH
2. Include a test PKCS#11 operation to ensure that the P11 stack is
   working correctly.

Previously, it was possible for p11_setup to return success on
configurations with PKCS#11 support disabled.

link ssh-keygen directly against ssh-pkcs11.c

Matches what OpenBSD does and fixes ssh-keygen regression in
certifying keys using a CA key hosted via ssh-agent (bz3877)

upstream: When tab-completing a filename, ensure that the completed

string does not end up mid-way through a multibyte character, as this will
cause a fatal() later on.

based on GHPR#587 from @TaoistBrickscarrier; feedback tb@ kevlo@
ok dtucker@

OpenBSD-Commit-ID: efb977164b4e20d61204a66201a7592ba8291362

upstream: fix crash at exit (visible via ssh-keygen -D) when

multiple keys loaded. ok markus deraadt dtucker

OpenBSD-Commit-ID: baa9763ec69d162108dafd962792ec5610ff45c9

upstream: openssh-10.2

The only change since 10.1 is the channels.c fix

OpenBSD-Commit-ID: 5eebeb0db14c694efd4ee96b5f16112e3e5d5ba9

Fix header name and move return outside of ifdef.

Fixes from Mike Frysinger via Github PR#597.

Check HAVE_MMAP too now that configure sets it.

Use calloc for sshkeys if mmap is not supported.

Based on Github PR#597 from Mike Frysinger, any bugs added by me.

Add fcntl.h to includes.

From FreeBSD via bz#3874: "This was previously included due to nested
includes in Heimdal's headers.  Without this, the build fails with an
error due to redefining AT_FDCWD."