Curl_socket_check: add extra check to avoid integer overflow

maketgz: make it support "only" generating version info

... to allow you to update the local repository with the given version
number data.

url: skip to-be-closed connections when pipelining (follow-up)

- Change back behavior so that pipelining is considered possible for
connections that have not yet reached the protocol level.

This is a follow-up to e5f0b1a which had changed the behavior of
checking if pipelining is possible to ignore connections that had
'bits.close' set. Connections that have not yet reached the protocol
level also have that bit set, and we need to consider pipelining
possible on those connections.

HTTP2: mention the tool's limited support

RELEASE-NOTES: synced with a1a5cd04877fd6fd

curl: do not set CURLOPT_SSLENGINEDEFAULT automatically

There were bugs in the PKCS#11 engine, and fixing them triggers bugs in
OpenSSL. Just don't get involved; there's no need to be making the
engine methods the default anyway.

https://github.com/OpenSC/libp11/pull/108
https://github.com/openssl/openssl/pull/1639

Merges #1042

KNOWN_BUGS: two more existing problems

win: fix Universal Windows Platform build

This fixes a merge error in commit 7f3df80 caused by commit 332e8d6.

Additionally, this changes Curl_verify_windows_version for Windows App
builds to assume to always be running on the target Windows version.
There seems to be no way to determine the Windows version from a
UWP app. Neither GetVersion(Ex), nor VerifyVersionInfo, nor the
Version Helper functions are supported.

Bug: https://github.com/curl/curl/pull/820#issuecomment-250889878
Reported-by: Paul Joyce
Closes https://github.com/curl/curl/pull/1048

KNOWN_BUGS: minor formatting edit

url: skip to-be-closed connections when pipelining

No longer attempt to use "doomed" to-be-closed connections when
pipelining. Prior to this change connections marked for deletion (e.g.
timeout) would be erroneously used, resulting in sporadic crashes.

As originally reported and fixed by Carlo Wood (origin unknown).

Bug: https://github.com/curl/curl/issues/627
Reported-by: Rider Linden
Closes https://github.com/curl/curl/pull/1075
Participation-by: nopjmp@users.noreply.github.com

vtls: only re-use session-ids using the same scheme

To make it harder to do cross-protocol mistakes

dist: add missing cmake modules to the tarball

Closes https://github.com/curl/curl/pull/1070

configure: detect the broken poll() in macOS 10.12

Fixes #1057

dist: remove PDF and HTML converted docs from the releases

cmake: add nghttp2 support

Closes #922

resolve: add error message when resolving using SIGALRM

Closes #1066

GIT-INFO: remove the Mac 10.1-specific details

There shouldn't be many devs out there anymore using such outdated macOS
versions. And it removes the dead link.

Closes #1049

RELEASE-NOTES: spellfix

RELEASE-NOTES: synced with 82720490628cb53a

5 more fixes, 2 more contributors

smb: properly check incoming packet boundaries

Not all reply messages were properly checked for their lengths, which
made it possible to access uninitialized memory (but this does not lead
to out of boundary accesses).

Closes #1052

test557: verify printf() with 128 and 129 arguments

mprintf: return error on too many arguments

128 arguments should be enough for everyone

ftp: fix Curl_ftpsendf()

... it no longer takes printf() arguments since it was only really taken
advantage by one user and it was not written and used in a safe
way. Thus the 'f' is removed from the function name and the proto is
changed.

Although the current code wouldn't end up in badness, it was a risk that
future changes could end up springf()ing too large data or passing in a
format string inadvertently.

formpost: avoid silent snprintf() truncation

The previous use of snprintf() could make libcurl silently truncate some
input data and not report that back on overly large input, which could
make data get sent over the network in a bad format.

Example:

 $ curl --form 'a=b' -H "Content-Type: $(perl -e 'print "A"x4100')"

TODO: build: Enable PIE and RELRO by default

TODO: Support better than MD5 hostkey hash (for ssh)

tests: Fix a small typo in the tests README (#1060)

The subdirectory for logs in tests/ is named log/ without an 's'
at the end.

TODO: Introduce --fail-fast to exit on first transfer fail

See #1054

TODO: Leave secure cookies alone

CURLOPT_DEBUGFUNCTION.3: unused argument warning (#1056)

The 'userp' argument is unused in this example code.

TODO: TCP Fast Open for windows

RELEASE-NOTES: synced with 8fd2a754f0de

CURLOPT_KEEP_SENDING_ON_ERROR.3: mention when it is added

memdup: use 'void *' as return and source type

TODO: Add easy argument to formpost functions

formpost: trying to attach a directory no longer crashes

The error path would previously add a freed entry to the linked list.

Reported-by: Toby Peterson
Fixes #1053

cookies: same domain handling changed to match browser behavior

Cokie with the same domain but different tailmatching property are now
considered different and do not replace each other.  If header contains
following lines then two cookies will be set: Set-Cookie: foo=bar;
domain=.foo.com; expires=Thu Mar 3 GMT 8:56:27 2033 Set-Cookie: foo=baz;
domain=foo.com; expires=Thu Mar 3 GMT 8:56:27 2033

This matches Chrome, Opera, Safari, and Firefox behavior. When sending
stored tokens to foo.com Chrome, Opera, Firefox store send them in the
stored order, while Safari pre-sort the cookies.

Closes #1050

FAQ: Fix typos in section 5.14 (#1047)

Type required for YourClass::func C++ function (using size_t in line
with the documentation for CURLOPT_WRITEFUNCTION) and missing second
colon when specifying the static function for CURLOPT_WRITEFUNCTION.

KNOWN_BUGS: Fix typos in section 5.8.

Closes #1046

CONTRIBUTE.md: Fix typo in 'About pull requests' section. (#1045)

curl.1: --trace supports % for sending to stderr!

KNOWN_BUGS: 5.8 configure finding libs in wrong directory

configure: Fixed builds with libssh2 in a custom location

A libssh2 library in the standard system location was being used in
preference to the desired one while linking.

SECURITY: remove the top ascii logo

New libcurl option to keep sending on error

Add the new option CURLOPT_KEEP_SENDING_ON_ERROR to control whether
sending the request body shall be completed when the server responds
early with an error status code.

This is suitable for manual NTLM authentication.

Reviewed-by: Jay Satiro
Closes https://github.com/curl/curl/pull/904

nss: add chacha20-poly1305 cipher suites if supported by NSS

nss: add cipher suites using SHA384 if supported by NSS

nss: fix typo in ecdhe_rsa_null cipher suite string

As it seems to be a rarely used cipher suite (for securely established
but _unencrypted_ connections), I believe it is fine not to provide an
alias for the misspelled variant.

docs: Remove that --proto is just used for initial retrieval

.. and add that --proto-redir and CURLOPT_REDIR_PROTOCOLS do not
override protocols denied by --proto and CURLOPT_PROTOCOLS.

- Add a test to enforce: --proto deny must override --proto-redir allow

Closes https://github.com/curl/curl/pull/1031

dist: add CurlSymbolHiding.cmake to the tarball

Follow-up to 6140dfcf3e784

Reported-by: Alexander Sinditskiy

curl_global_cleanup.3: don't unload the lib with sub threads running

Discussed in #997

Assisted-by: Jay Satiro

MAIL-ETIQUETTE: language

easy: Reset all statistical session info in curl_easy_reset

Bug: https://github.com/curl/curl/issues/1017
Reported-by: Jeroen Ooms

RELEASE-NOTES: synced with 79607eec51055

darwinssl: Fix typo in comment

Closes https://github.com/curl/curl/pull/1028

libressl: fix version output

LibreSSL defines `OPENSSL_VERSION_NUMBER` as `0x20000000L` for all
versions returning `LibreSSL/2.0.0` for any LibreSSL version.

This change provides a local OpenSSL_version_num function replacement
returning LIBRESSL_VERSION_NUMBER instead.

Closes #1029

TODO: Add PINNEDPUBLICKEY - HPKP compatibility, HSTS & HPKP

Closes #1025
Closes #1026
Closes #1027

openssl: don't call ERR_remote_thread_state on >= 1.1.0

Follow-up fix to d9321562

openssl: don’t call CRYTPO_cleanup_all_ex_data

The OpenSSL function CRYTPO_cleanup_all_ex_data() cannot be called
multiple times without crashing - and other libs might call it! We
basically cannot call it without risking a crash. The function is a
no-op since OpenSSL 1.1.0.

Not calling this function only risks a small memory leak with OpenSSL <
1.1.0.

Bug: https://curl.haxx.se/mail/lib-2016-09/0045.html
Reported-by: Todd Short

TODO: Support SSLKEYLOGFILE

CURLOPT_PINNEDPUBLICKEY.3: fix the AVAILABILITY formatting

darwinssl: disable RC4 cipher-suite support

RC4 was a nice alternative to CBC back in the days of BEAST, but it's insecure and obsolete now.

configure: change "iOS/Mac OS X native" to "Apple OS native"

Since I first wrote that text, Apple introduced tvOS and watchOS, and renamed "Mac OS X" to "macOS." Let's make the text a little more inclusive, since curl can be built for all four operating systems.

test2048: fix url

examples/imap-append: Set size of data to be uploaded

Prior to this commit this example failed with error
'Cannot APPEND with unknown input file size'.

Bug: https://github.com/curl/curl/issues/1008
Reported-by: lukaszgn@users.noreply.github.com
Closes https://github.com/curl/curl/pull/1011

LICENSE-MIXING.md: update with mbedTLS dual licensing

Recent versions of mbedTLS are available under either Apache 2.0 or GPL
2.0, see https://tls.mbed.org/how-to-get

Closes #1019

KNOWN_BUGS: chunked-encoded requests with HTTP/2 is fixed

http2: debug ouput sent HTTP/2 request headers

http: accept "Transfer-Encoding: chunked" for HTTP/2 as well

... but don't send the actual header over the wire as it isn't accepted.
Chunked uploading is still triggered using this method.

Fixes #1013
Fixes #662

openssl: fix per-thread memory leak usiong 1.0.1 or 1.0.2

OpenSSL 1.0.1 and 1.0.2 build an error queue that is stored per-thread
so we need to clean it when easy handles are freed, in case the thread
will be killed in which the easy handle was used. All OpenSSL code in
libcurl should extract the error in association with the error already
so clearing this queue here should be harmless at worst.

Fixes #964

RELEASE-NOTES: reset and go toward 7.51.0 (again)

THANKS: updated with curl 7.50.3 contributors

RELEASE-NOTES: curl 7.50.3

test1605: verify negative input lengths to (un)escape functions

curl_easy_unescape: deny negative string lengths as input

CVE-2016-7167

Bug: https://curl.haxx.se/docs/adv_20160914.html

curl_easy_escape: deny negative string lengths as input

CVE-2016-7167

Bug: https://curl.haxx.se/docs/adv_20160914.html

curl: make --create-dirs on windows grok both forward and backward slashes

Reported-by: Ryan Scott
Fixes #1007

RELEASE-NOTES: synced with 665694979b6

mbedtls: switch off NTLM in build if md4 isn't available

NTLM support with mbedTLS was added in 497e7c9 but requires that mbedTLS
is built with the MD4 functions available, which it isn't in default
builds. This now adapts if the funtion isn't there and builds libcurl
without NTLM support if so.

Fixes #1004

CODE_STYLE: fix long-line guideline

- Change maximum allowed line length from 80 to 79.

CODE_STYLE: add column alignment section

Note that since the added examples are for column alignment I had to
encapsulate with ~~~c markdown to preserve their alignment.

cmake: fix curl-config --static-libs

The `curl-config --static-libs` command should not output paths like
-l/usr/lib/libssl.so, instead print the absolute path without `-l`.

This also removes the confusing message "Static linking is broken" which
was printed because curl-config --static-libs was disfunctional even
though the static libcurl.a library works properly.

Fixes https://github.com/curl/curl/issues/841

http: refuse to pass on response body with NO_NODY was set

... like when a HTTP/0.9 response comes back without any headers at all
and just a body this now prevents that body from being sent to the
callback etc.

Adapted test 1144 to verify.

Fixes #973

Assisted-by: Ray Satiro

RELEASE-NOTES: synced with 257bf3ac67eb6

CMake: Don't build unit tests if private symbols are hidden

This only excludes building unit tests from default build ( 'all' Make
target or "Build Solution" in VisualStudio). The projects and Make
targets will still be generated and shown in supporting IDEs.

Fixes https://github.com/curl/curl/issues/981
Reported-by: Randy Armstrong
Closes https://github.com/curl/curl/pull/990

CMake: Try to (un-)hide private library symbols

Detect support for compiler symbol visibility flags and apply those
according to CURL_HIDDEN_SYMBOLS option.
It should work true to the autotools build except it tries to unhide
symbols on Windows when requested and prints warning if it fails.

Ref: https://github.com/curl/curl/issues/981#issuecomment-242665951
Reported-by: Daniel Stenberg

openssl: fix bad memory free (regression)

... by partially reverting f975f06033b1. The allocation could be made by
OpenSSL so the free must be made with OPENSSL_free() to avoid problems.

Reported-by: Harold Stuart
Fixes #1005

http2: support > 64bit sized uploads

... by making sure we don't count down the "upload left" counter when the
uploaded size is unknown and then it can be allowed to continue forever.

Fixes #996

errors: new alias CURLE_WEIRD_SERVER_REPLY (8)

Since we're using CURLE_FTP_WEIRD_SERVER_REPLY in imap, pop3 and smtp as
more of a generic "failed to parse" introduce an alias without FTP in
the name.

Closes https://github.com/curl/curl/pull/975

bump: toward 7.51.0

HISTORY: remove ascii logo to render nicer on web

curl: whitelist use of strtok() in non-threaded context

checksrc: detect strtok() use

... as that function slipped through once before.

mk-ca-bundle.pl: use SHA256 instead of SHA1

This hash is used to verify the original downloaded certificate bundle
and also included in the generated bundle's comment header. Also
rename related internal symbols to algorithm-agnostic names.

RELEASE-NOTES: curl 7.50.2 release

THANKS: updated for 7.50.2

openssl: fix CURLINFO_SSL_VERIFYRESULT

CURLINFO_SSL_VERIFYRESULT does not get the certificate verification
result when SSL_connect fails because of a certificate verification
error.

This fix saves the result of SSL_get_verify_result so that it is
returned by CURLINFO_SSL_VERIFYRESULT.

Closes https://github.com/curl/curl/pull/995

darwinssl: test for errSecSuccess in PKCS12 import rather than noErr (#993)

While noErr and errSecSuccess are defined as the same value, the API
documentation states that SecPKCS12Import() returns errSecSuccess if
there were no errors in importing. Ensure that a future change of the
defined value doesn't break (however unlikely) and be consistent with
the API docs.

docs: Fix link to CONTRIBUTE in Github contribution guidelines (#994)

openssl: Fix compilation with OPENSSL_API_COMPAT=0x10100000L

With OPENSSL_API_COMPAT=0x10100000L (OpenSSL 1.1 API), the cleanup
functions are unavailable (they're no-ops anyway in OpenSSL 1.1). The
replacements for SSL_load_error_strings, SSLeay_add_ssl_algorithms, and
OpenSSL_add_all_algorithms are called automatically [1][2]. SSLeay() is
now called OpenSSL_version_num().

[1]: https://www.openssl.org/docs/man1.1.0/ssl/OPENSSL_init_ssl.html
[2]: https://www.openssl.org/docs/man1.1.0/crypto/OPENSSL_init_crypto.html

Closes #992