src/load_plugins.c needs _PATH_SUDO_CONF so allow it to be overridden
via the Makefile like other consumers of _PATH_SUDO_CONF.  Bug #735

Add an administrative domain to the passwd/group cache key for
AIX which can have different name <-> ID mappings depending
on whether the database is local, LDAP, etc.

Fedora dropped "core" from the name some time ago so just match on
f[0-9] for the rpm distro name provided by pp.  Since the version
numbers of Fedora and RHEL are so different switch to defining
variables to indicate which features should be enabled.  Works for
Fedora 23.

Treat fedora core like centos/rhel for package building.

Plug some memory leaks in the tests.

If realloc of sudoerslval.command.args fails, reset sudoerslval.command.args
as well as arg_len and arg_size after freeing sudoerslval.command.args.

When freeing the iobs after pty tear-down, also free the associated
event structures.  Quiets a memory leak warnings from address
sanitizer and valgrind.

iolog_compress should be bool, not int

Quiet address sanitizer leak detector.

Simple garbage collection (really a to-be-freed list) for the sudoers
plugin.  Almost identical to what sudo.c uses.  Currenly only the
environment strings are collected at exit time which is enough to
quiet address sanitizer's leak detector.

Rename gc_cleanup to gc_run and remove I/O plugins from the plugin
list when freeing them.

Free up the garbage via an atexit() handler instead of requiring
a call to gc_exit.

Plug a memory leak in sudo_edit.

mention --enable-asan

Try to deconfuse static analyzers a bit.

Avoid possible NULL deref found by clang analyzer.

Add --enable-asan configure flag to enable address sanitizer

Add support for garbage collecting info passed to the plugin before
exit to appease address sanitizer's leak detector (and valgrind's
leak checker).  We can't free these sooner since the plugin may be
using the memory.  For plugin API 2.0 it should be make clear that
the plugin must make a copy of the data in the arrays passed in to
the plugin's open() function.  Only enabled if NO_LEAKS is defined.

auth_getpass() returns a dynamically allocated copy of the plaintext
password which needs to be freed after checking (and clearing) it.

Remove sudo_fatalx() calls from format_plugin_settings().

fn_free_result() (aka sss_sudo_free_result() in sss_sudo.c) handles
a NULL poiner so there's no need to check before calling it.  Add
missing initialization of sss_sudo_result to NULL in sudo_sss_setdefs().

Add missing return when user is not found in sudo_sss_result_get().
Previously we fell through to the default case which just logged a
debug message and returned so this just avoids the extra (generic)
debug message.

Fix a warning on AIX.

Pass updated user_env_out, not envp, to the I/O open function.

Pass updated argv/envp to the I/O open function like the plugin API
documents.

Add check for I/O log file handle being NULL.  This could only
happen if the front-end calls iolog_open with argc == 0 but actually
runs a command.

Additional debugging for pwutil functions.

When calling setauthdb(), save the old registry value so we can
restore it properly.  Previously we were setting the registry to
unrestricted instead of actually restoring it.

Use SUDOERS_DEBUG_UTIL not SUDO_DEBUG_UTIL in the plugin.

When parsing debug entries, don't make a lower value override a
higher one.  For example, for "pcomm@debug,all@warn" the "all@warn"
should not set pcomm to "warn" when it is already at "debug".

Set sudoedit_checkdir=false in command_details when it is disabled
in sudoers.

Update copyright year

If the user runs "sudoedit /" we will receive ENOENT from openat(2)
and sudoedit will try to create a file with the null string.  If
path is empty, open the cwd instead so sudoedit can give a sensible
error message.

Log an error for invalid boolean strings.

Fix off by one error in new SET_FLAG macro.

Document the race with sudoedit_checkdir in 1.8.15.

Document sudoedit_checkdir

There are no systems that support O_SEARCH/O_PATH that do not also
support O_DIRECTORY so simplify the definition of DIR_OPEN_FLAGS a
bit.

regen

Add 1.8.16 changes

Make sudoedit_checkdir the default and update the documentation accordingly.

Add a SET_FLAG macro to simplify parsing command details boolean
flags.  Previously, flags were only set and never cleared even if
the boolean value was false.  This was not a problem as there were
no default flags for the plugin to enable.  That will change in the
future.

Need to be root when switching to a different user.

Use O_SEARCH on systems without O_PATH if present.  It can be used
for a similar purpose.

Use faccessat(2) for directory writability instead of doing the
checks manually where possible.  This also allows us to remove the
#ifdef __linux__ bits since we no longer use fstat(2) on Linux with
an O_PATH fd.

Add "I/O LOG FILES" section to the manual and move many of the
details from the log_input and log_output descriptions to it.

Use "Nm sudoers" when talking about the plugin and "Em sudoers" when
talking about the sudoers file.

Remove gzopen_w which is only defined on Windows.

Work around the buggy pread(2) on 32-bit HP-UX 11.00 by using
pread64() on that platform.

Add support for matching the entire netgroup tuple (user, host, domain).

Use asprintf() to generate the netgroup filter instead of using
lots of concatenation.

Add missing sudo_debug_exit_ssize_t_v1 symbol.

In sudo_netgroup_lookup() only build up the search filter once
instead of once per netgroup_base.

It is safe to pass ldap_msgfree() a NULL pointer.

On overflow, warn before freeing anything.

Use user_runhost and user_srunhost instead of user_host and user_shost.
Fixes "sudo -l -h other_host" for LDAP and sssd.

Silence warning in digest_matches() on systems with no fexecve(2).

Fix free() of invalid pointer introduced in the commit that stripped
whitespace between a '!' and the name in a sudoOption.

Fix free() of invalid pointer introduced in the commit that stripped
whitespace between a '!' and the name in a sudoOption.

Add missing dfd argument to the version of sudo_edit_openat_nofollow()
for systems without O_NOFOLLOW.

Update description of sudoedit_checkdir.  Reported by Sander Bos.

No need to check whether the fd we opened is really a directory in
sudo_edit_open_nonwritable() since if not, the openat() will fail
with ENOTDIR anyway.

Rewritten sudoedit_checkdir support that checks all the dirs in the
path and refuses to follow symlinks in writable directories.
This is a better fix for CVE-2015-5602.
Adapted from a diff by Ben Hutchings.  Bug #707

sync with translationproject.org

Add support for using fexecve() if supported on commands that are
checksummed.

Call openat() with the basename not the full path.  From Ben Hutchings.

Fix compilation with --disable-shared

Check for existing dso in LD_PRELOAD and only add it if it is not
already present.

Clarify when SIGINT and SIGQUIT are relayed by sudo to the command.

Actually use the plugin_dir Path setting in sudo.conf.

The Path setting for the plugin directory is "plugin_dir" not "plugin".

Allow sudo.conf Path settings to disable path names (by setting the
value of NULL).

Change noexec flag in selinux_execve() from int to bool.

Refactor code to set LD_PRELOAD (or the equivalent) in the environment
into a preload_dso() function.  Also avoid allocating a new copy
of the environment array if the size of the array does not change.

Add missing square brackets in configure option descriptions.

Document the names of the I/O log files and mention buffering.
Document that I/O logs are in gzip format by default.

Add BASHOPTS to initial_badenv_table[]; from Stephane Chazelas

When parsing sudoOptions that include an operator (!, +, +=, -=)
strip out any whitespace on either side of the operator.

Strip whitespace around '!', '=', '+=' and '-=' in Defaults entries.

Document the race condition between the digest check and command
execution.

When checking the query results, don't set user_matches in the
netgroup pass unless sudo_ldap_check_non_unix_group() returns true.
This was preventing the mail_no_user sudoOption from being effective.

In list mode, we always want to clear FLAG_NO_USER and FLAG_NO_HOST
regardless of whether or not there was an actual match.  Otherwise,
warning mail may be sent which is not what we want in list mode.
This is consistent with what the sudoers file backend does.

Use size_t for length parameters in the fill functions used by the
lexer.

Use yy_size_t for digest_len since newer flex uses yy_size_t for
yyleng.  Old flex uses int for yyleng so we need to use a cast to
avoid a sign compare warning.

Use https in sudo.ws urls

Use https in urls.

sudo 1.8.16

When preserving variables from the invoking user's environment, if
there are duplicates only keep the first instance.

Add debug_return_ssize_t

Avoid compilation error on Solaris 10 with Stun Studio 12.
Bug #727

sync with translationproject.org

Mention ssp configure fix.

sync with translationproject.org

Don't use CPPFLAGS for the -fstack-protector check.  Otherwise on
systems with _FORTIFY_SOURCE support we'll get an error due to the
lack of optimization flags.  Bug #725

When checking for stack protector support we need to actually link
the test program.

Preserve LDFLAGS when checking for stack protector as they may include
rpath settings to allow the stack protector lib to be found.  Avoid
using existing CFLAGS since we don't want the compiler to optimize
away the stack variable.

Better configure test for -fstack-protector.  Some gcc installations
may be missing the ssp library even though the compiler supports it.

Set errno to EISDIR instead of ENOTDIR if directory is writable
since ENOTDIR can be a legitimate errno.  This avoids a bogus
"directory is writable" error in that case.

Fix the check for whether to include 32-bit arch in Mac OS X packages.

regen