Clear input, output, control and local flags before copying them
from the source terminal.  Otherwise, flags that are disabled
in the source terminal may still be enabled in the destination.

Remove pointless subshells in targets that simply change the directory
and execute a command.  The command is already run in a shell so
there is no need to execute a subshell in this case.

Store the debug instance ID for I/O plugins too.
Now iolog_open() is consistent with policy_open().

Move the bits to fill in the new event base to sudo_ev_base_init(),
which is not currently exported.

Use getentropy() in mkstemp/mkdtemp replacement.

Use _PATH_DEV consistently

When copying terminal settings from one tty to another only copy a
subset of the flags.  Sudo now copies the same set of flags that
OpenSSH uses, which should be safe.

Add debug warning when we have wait status but don't overwrite the
existing cstat.

Better handling of SIGCONT from in command in the monitor.  It is
useful to know when the command continued but we don't want to
inform the parent or store the wait status in this case.  Fixes a
hang after multiple suspends on Linux.

avoid padding in struct cmndspec

Fix the man section of sudo_plugin in cross-references.

Don't treat an unchanged file as an error.  From Xin Li.

sudo_edit() must return a wait status but if there is an error, or
even if no changes were made to the file, it was returning 1 instead
which would be interpreted as the command having received SIGHUP.
Use the W_EXITCODE() to construct a proper wait status in the error
case too.

Avoid sign extension when assigning the value of tty_nr in
/proc/self/stat on Linux.  It is an unsigned int value that
is printed as a signed int but dev_t is unsigned long long.
We need to cast to unsigned int before assigning to a dev_t.

Instead of hard-coding a check for bash functions in env_should_delete(),
use a "*=()* " pattern in initial_badenv_table[] to match them instead.
This allows the user to remove the check via env_delete.

Mac OS X -> macOS

devsearch is ignored on BSD, macOS and Solaris

Sudo 1.8.20p2

A command name may also contain newline characters so read
/proc/self/stat until EOF.  It is not legal for /proc/self/stat to
contain embedded NUL bytes so treat the file as corrupt if we see
any.  With help from Qualys.

This is not exploitable due to the /dev traversal changes in sudo
1.8.20p1 (thanks Solar!).

Use /proc/self consistently on Linux.  As far as I know, only AIX
doesn't support /proc/self.

Add a new "devsearch" Path setting to sudo.conf for configuring the
/dev paths to traverse instead of hard-coding a list in ttyname.c
The default value can be set at configure time.

After opening a tty device, fstat() and error out if it is not
a character device.

Sudo 1.8.20p1

Fix for CVE-2017-1000367, parsing of /proc/pid/stat on Linux when
the process name contains spaces.  Since the user has control over
the command name this could be used by a user with sudo access to
overwrite an arbitrary file.
Thanks to Qualys for investigating and reporting this bug.

Also stop performing a breadth-first traversal of /dev when looking
for the device.  Only the directories specified in search_devs[]
are checked.

Fix potential memory leak on reallocarray() error.  Coverity CID 169639

Only fall back to deprecated getaudit() on FreeBSD.  Fixes compiler warnings on macOS.

Use clang on macOS if present

fix paths to LICENSE and NEWS files for macOS packages

To avoid overwriting existing command status, check for CMD_INVALID
instead of CMD_ERRNO or CMD_WSTATUS.

Add some patterns that could result in exponential run time for
poorly written '*' matching.

On HP-UX 11.0, sys/ioctl.h is not sufficient to make struct winsize
visisble, we need termios.h too.

Always used TIOCGWINSZ.

Move exec_setup(), unlimit_nproc() and restore_nproc() from sudo.c
to exec.c.

No need to include selinux.h here.

Fix compilation error on macOS

Avoid a clang analyzer false positive.

Add cov-build and cov-submit targets for checking with coverity.

Use debug logging instead of ignore_result() where possible.

Remove use of non-standard sigaction_t

Remove use of the non-standard SA_INTERRUPT

sudo 1.8.21

Add support for multiple '*' in env_keep, env_check and env_delete
entries.

Add SIGCHLD to the list of signals we install sudo_handler() for.
Otherwise, it is possible for the command to exit before the SIGCHLD
handler is installed.  POSIX says that signals that are ignored by
default are still ignored even if the signal mask would block them.
We need to have a handler installed for SIGCHLD before the fork().

Activate the sigevents inside the signal pipe callback itself
and call signal_pipe_cb() directly if the backend returns EINTR
and the signal_caught flag is set.  This has the side effect of
processing signal events in the current pass of the event loop
instead of the next one.

Use SUDO_EV_SIGNAL and SUDO_EV_SIGINFO instead of managing the
signal_pipe explicitly.

Handle the possibility of the siginfo parameter in sa_sigaction
handler being NULL.

Add support for signal events in sudo's event subsystem

Restore the error message for sudo_ev_add() failure.

Add workaround for clang static analyzer being confused by LIST_REMOVE
and TAILQ_REMOVE.

Fix "make check" when openssl or gcrypt is used.  Bug #787

Only display string version of errno if sudo_ev_add() fails for now

update

Be clear that #includedir diverts control to the files in the
specified directory and, when parsing of those files is complete,
returns control to the original file.  Bug #775

sync with translationproject.org

update

Fix a hang introduced in the last commit.  Don't close the pty slave
until after we have the controlling tty.

If any of std{in,out,err} are not hooked up to a tty only interpose
ourselves with a pipe if the plugin will actually log the data.
This avoids a problem with non-interactive commands where no tty
is present where sudo will consume stdin even when log_input is not
enabled in sudoers.

update

Update based on information from Michael Felt.

In check_input() when switch()ing on the return value of read(),
use the default label instead of 1 for the success case.  It is
only reading a single byte so the two are equivalent but it reads
better using default.

Check sudo_ev_add() return value.  Coverity CID 168362

Add io_open() wrapper for open(2) that retries with PERM_IOLOG if
open(2) fails with EACCES.  Use io_open() instead of duplicate
copies of the same fallback code.

Don't retry the open() if set_perms() fails.

Fix typo (fd2 vs. fd) caught by coverity, CID 168359.

sync with translationproject.org

Warn people not to use --enable-asan in production.

Move the invocation of check_noexec into the main "check" target
but only run it if not cross compiling and whe CHECK_NOEXEC is not
empty.

Move @CHECK_NOEXEC@ to TEST_PROGS so it gets cleaned up properly.

Move syslog_maxlen to the "Integers" section.  Move syslog_goodpri and
syslog_badpri to the "Strings at can be used in a boolean context" section.

Fix a pasto that resulted in an extra (empty) syslog_goodpri list entry.

Add tests for parsing tuples and syslog options.

Allow the syslog Defaults option to be used in a "true" boolean
context and use the compiled in default log facility in this case.

Allow a tuple to be set to boolean true.  Regression introduced by
refactor of set_default_entry() in sudo 1.8.18.

Replace the list of "dangerous" environment variables and explain
how sudo handles the environment instead.

Fix exponential behavior in glob() with respect to multiple '*'.
See https://research.swtch.com/glob
Adapted from https://perl5.git.perl.org/perl.git/commit/33252c318625f3c6c89b816ee88481940e3e6f95

We no longer need to write to the tty if the command was killed by
a signal.  Sudo will terminate itself with the same signal the
command died from.  Unfortunately, we lose the "core dumped" bit
since sudo itself will not dump core, but there doesn't appear to
be a way around that.

On Linux, if the command we ran dumped core, set PR_SET_DUMPABLE
to 0.  This will prevent sudo itself from dumping core in this case.

Update path to sudo_noexec.so

If the command terminated due to a signal, sudo will send that same
signal to itself so the parent shell knows the command died from
a signal.  However, we don't want sudo itself to dump core.

sync

The fix for Bug #722 contained a typo/thinko that resulted in the
exit status being 0 when a command was killed by a signal other
than SIGINT.  This fixes the signal handler setup so sudo will
terminate with the same signal as the command.  Bug #784.

Better check for /etc/rc.d/rc2.d/S90sudo on AIX

Don't install the rc.d link when installing to a DESTDIR.
DESTDIR is generally only set when installing to a temporary
directory for packaging in which case the link should be
made in a post-install script.

In "make install", install sample sudoers file as /etc/sudoers.dist
and copy it to /etc/sudoers if there is no existing /etc/sudoers.
Packages either contain /etc/sudoers (RPM and Debian) or /etc/sudoers.dist
(everything else).

Allow "make dist" and "make depend" to work for out of tree builds.

Add missing $(srcdir) prefix to shlib_exp definition.

Fix typo in killpg macro.

Fix the killpg macro for systems without killpg() in libc.

Use the standard idiom for popping all entries from a tail queue.
The llvm checker gets confused by TAILQ_REMOVE and generate
use-after-free false positives.

rewrite errpipe callbacks

use pipe2() with O_CLOEXEC instead of pipe() + fcntl() and FD_CLOEXEC

init io_pipe[][] to -1, not 0

In sudo_sss_check_user() it is not possible for handle to be NULL.

Fix a use after free when the fqdn sudoOption is set and no hostname
value is present in sssd.conf.

Avoid unused variable when getgrouplist_2() is available.
It would be nicer to just provide getgrouplist_2() (or the equivalent)
and avoid the ugly #ifdefs.

sync with translationproject.org

regen

In sudo_ttyname_scan() if dir is the empty string, set errno to
ENOENT before returning.

Try to make it clear that when match_group_by_gid is enabled, groups
in sudoers are looked up by group name instead of group ID.  This
doesn't usually cause problems, but if there are conflicting group
entries (for example, from a local /etc/group file and an LDAP or
AD group database), whether the group is resolved by name or ID can
be used to work around conflicts.

sync with translationproject.org