There's no point in trying to interpose protected versions of the
exec family of functions.  Many modern C libraries use hidden symbols
for the functions and syscalls defined in libc such that they cannot
be overridden inside libc itself.  We have to just wrap all the exec
variants plus system and popen.

List all the functions wrapped by sudo_noexec.so.

The section is now called "EXEC and NOEXEC" and it is above, not
below.

Also wrap popen(3).

Also interpose system(3).  On glibc systems you cannot interpose
the syscalls used internally by libc.

Set active debug instance to sudo_debug_instance() during the
conversation function.

LOGNAME and USERNAME are set the same way as USER

Document behavior when the command dies from a signal in EXIT STATUS.

Bug #722

When the command sudo is running is killed by a signal, sudo will
now send itself the same signal with the default signal handler
instead of exiting.  The bash shell appears to ignore some signals,
e.g.  SIGINT, unless the command is killed by that signal.  This
makes the behavior of commands run under sudo the same as without
sudo when bash is the shell.  Bug #722

Adjust set_logname description to new behavior when any of LOGNAME,
USER or USERNAME are preserved.

If some, but not all, of the LOGNAME, USER or USERNAME environment
variables have been preserved from the invoking user's environment,
sudo will now use the preserved value to set the remaining variables
instead of using the runas user.  This ensures that if, for example,
only LOGNAME is present in the env_keep list, that sudo will not
set USER and USERNAME to the runas user.

Fix passing of the callback pointer to the conversation function.
This was preventing the on_suspend and on_resume functions from
being called on PAM systems.

Explicitly mark large hex constants unsigned.

Cast sizeof(entry) to off_t before making it a negative offset for
lseek().  Fixes "sudo -k" on Solaris and probably others.

Add explicit mention of sudo's netgroup semantics since they differ
from most other netgroup consumers.

sync with translationproject.org

Fix potential double free of the cookie when sudo is suspended at
the password prompt.

sync with translationproject.org

sync with translationproject.org

Bug #719

SIGHUP is now relayed to the command.  Bug #719

When a terminal device is closed, SIGHUP is sent to the controlling
process associated with that terminal.  It is not sent to the entire
process group so sudo needs to relay SIGHUP to the command when it
is not being run in a new pty.  Bug #719

Mention visudo bug in 1.8.14

We reserved two slots at the end of the editor argv for the line
number and the file name.  However, resolve_editor() adds "--"
before the file names so the +line_number is interpreted as a file
name, not a line number so we need to overwrite the "--" as well.

Remove checks for __sys_siglist and __sys_signame.  They are internal
to libc and there are no known systems that export those symbols
that do not already export the single underbar or no-underbar versions.

Sync with translationproject.org

regen

Restore old signal handlers before tty settings.  That way SIGTTOU
is at its original value if sudo_term_restore() should fail.

Document what happens when the on_suspend/on_resume callbacks
return an error.

No need to have version macros for hooks, callbacks and the sudoers
group plugin.  We can just use the main sudo API macros.  The sudoers
group plugin macros are preserved for source compatibility but are
not documented.

Properly escape the backslash before a comma in an example so the
example rule is parsable by visudo.

Ignore callbacks if major version doesn't match.

Remove include/compat/timespec.h.  Systems old enough to lack struct
timespec are too old to build a modern sudo.

Bug #713

Fill in cstat if exec_setup() fails.  Previously it was only filled
in for an execve() failure.  Fixes an unkillable sudo process when
exec_setup() fails and I/O logging is enabled.

Fix running commands as non-root when neither setresuid() not
setreuid() are available.  At this point we are already root so
setuid() must succeed.  Bug #713

Cast uid_t to unsigned int when printing as %u

Mention time stamp file locking changes, fix some spelling.

Update with latest changes.

Avoid touching the time stamp directory for "sudo -k command"

Bring back the check for time stamp files that predate the boot
time.  Instead of truncating we now unlink the file since another
process may be sleeping on the lock.

Use pread(2) and pwrite(2) where possible.

sudo_term_* already restart themselve for all but SIGTTOU so we
don't need to use our own restart loops.

Set errno to EINVAL if sudo_lock_* is called with a bad type.

Adjust new locking to work when tty_tickets is disabled.  We need
to use per-tty/ppid locking to gain exclusive access to the tty
for the password prompt but use a separate (short term) lock
that is shared among all sudo processes for the user.

Allow the time stamp lock to be interrupted by signals.

Implement suspend/resume callbacks for the conversation function.
If suspended, close the timestamp file (dropping all locks).  On
resume, lock the record before reading the password.

For this to work properly we need to be able to run th callback
when tsetattr() suspends us, not just when the user does.  To
accomplish this the term_* functions now return EINTR if SIGTTOU
would be generated.  The caller now has to restart the term_*
function (and send itself SIGTTOU) instead of it being done
automatically.

Lock individual records in the timestamp file instead of the entire
file.  This will make it possible for multiple sudo processes using
the same tty to serialize their timestamp lookups.

Add a struct sudo_conv_callback that contains on_suspend and on_resume
function pointer args plus a closure pointer and at it to the
conversation function.

Make hook_version and hook_type unsigned.

When decoding base64, avoid using '=' in the decoded temporary array
as a sentinel as it can legitimately be present.  Instead, just use
the count of bytes stored in the temp array to determine which bytes
to fold into the destination.

When parsing def_editor, break out of the loop when we find the
first valid editor.  Bug #714

The condition for adding a missing newline at the end of sudoers
was never reached.  Keep track of the last character and write a
newline character if when copying to the temp file.  Found by Radovan
Sroka.

Remove extraneous while() from botched do {} while() loop
conversion to use sudo_strsplit.  Noticed by Radovan Sroka.

In sudo_pam_begin_session() and sudo_pam_end_session() return
AUTH_FATAL on error, not AUTH_FAILURE.  In sudo_auth_begin_session()
treat anything other than AUTH_SUCCESS as a fatal error.

Linux sets si_pid in struct siginfo to 0 when the process that sent
the signal is in a different container since the PID namespaces in
different conatiners are separate.  Avoid looking up the process
group by id when si_pid is 0 since getpgid(0) returns the process
group of the current process.  Since sudo ignores signals sent
by processes in its own process group, this had the effect of
ignoring signals sent from other containers.  From Maarten de Vries

Sprinkle some debugging.

Document that sudo uses the real uid to map from uid to passwd file
user name.

disable_coredump can be set to no on modern OSes without
security consequences.

Emphasis on the never.

Explicitly tell people not to grant sudoedit to directories the
user can write to.  While sudoedit will no longer open symbolic
links, hard links are still an issue.

Add warning about writable directories and sudo/sudoedit.

Emphasize that wildcards are not regexps.  Bug #692

Emphasize that wildcards in command line arguments are dangerous.
Document the failings of the passwd example on GNU systems.
Bug #691

Escape the colons in [[:alpha:]] as required by sudoers.

Change warning when user tries to sudoedit a symbolic link.

regen

regen

Do not follow symbolic links in sudoedit by default.  This behavior
can be controlled by the sudoedit_follow Defaults flag as well as
the FOLLOW/NOFOLLOW tags.

Sudo 1.8.15

add .json regress files to MANIFEST

Check JSON output of sudoers test files too.

Move comment to match moved code.

maxseq is an int not a string

Include sys/types.h for id_t.  Bug #711

Avoid a potential out of bounds read found by enh while fuzzing
with address sanitizer enabled.

Set sssd lib location to /usr/lib64 on 64-bit RHEL/Centos.
Bug #710

Add Jakub Wilk

The init.d files are generated from a .in file so we need to install
from top_builddir not top_srcdir.  From Ross Burton.  Bug #708

Replace two "return 0" with debug_return_bool(false).

fix typo in previous commit

Sudo 1.8.14p3

Fix errno value from get_process_ttyname() when no tty is present.

On AIX, only convert the tty device number from dev64_t to dev32_t
if dev_t is 32-bits.

Sudo 1.8.14p2

Fix creation of the timestamp file; bug #704

Avoid needless memory allocation when resolving the tty name.

Sudo 1.8.14p1

Fix typo in sudo_sss_attrcpy() that caused a memory allocation error.

rebuild

Add some debugging printfs when malloc fails and we don't have an
explicit call to sudo_warnx().

Add missing warnings for memory allocation failure.
Add function name to memory allocation warnings.

Return -1 if realloc() fails.

Add line number to debug log for memory allocation errors.

Add warning if calloc() fails.
Add debugging for other unexpected errors.

Add missing check for calloc(3) return value.

Document that the values printed by "sudo -V" are affected by
Defaults settings in sudoers.

Avoid calling dlerror() multiple times since it clear the error
status after printing the error.
Problem caused by sudo_warn/sudo_fatal being macros...

Attempt to clarify the conditions under which MAIL and HOME are
set to the target user.