urlapi: verify the IPv6 numerical address

It needs to parse correctly. Otherwise it could be tricked into letting
through a-f using host names that libcurl would then resolve. Like
'[ab.be]'.

Reported-by: Thomas Vegas
Closes #4315

openssl: use SSL_CTX_set_<min|max>_proto_version() when available

OpenSSL 1.1.0 adds SSL_CTX_set_<min|max>_proto_version() that we now use
when available.  Existing code is preserved for older versions of
OpenSSL.

Closes #4304

openssl: indent, re-organize and add comments

sspi: fix memory leaks

Closes #4299

travis: disable ngtcp2 builds (again)

Curl_fillreadbuffer: avoid double-free trailer buf on error

Reviewed-by: Jay Satiro
Reported-by: Thomas Vegas
Closes #4307

tool_setopt: handle a libcurl build without netrc support

Reported-by: codesniffer13 on github
Fixes #4302
Closes #4305

security:read_data fix bad realloc()

... that could end up a double-free

CVE-2019-5481
Bug: https://curl.haxx.se/docs/CVE-2019-5481.html

tftp: Alloc maximum blksize, and use default unless OACK is received

Fixes potential buffer overflow from 'recvfrom()', should the server
return an OACK without blksize.

Bug: https://curl.haxx.se/docs/CVE-2019-5482.html
CVE-2019-5482

tftp: return error when packet is too small for options

KNOWN_BUGS/TODO: cleanup and remove outdated issues

RELEASE-NOTES: synced

netrc: free 'home' on error

Follow-up to f9c7ba9096ec2

Coverity CID 1453474

Closes #4291

urldata: avoid 'generic', use dedicated pointers

For the 'proto' union within the connectdata struct.

Closes #4290

cleanup: move functions out of url.c and make them static

Closes #4289

smtp: check for and bail out on too short EHLO response

Otherwise, a three byte response would make the smtp_state_ehlo_resp()
function misbehave.

Credit to OSS-Fuzz
Bug: https://crbug.com/oss-fuzz/16918

Assisted-by: Max Dymond
Closes #4287

smb: init *msg to NULL in smb_send_and_recv()

... it might otherwise return OK from this function leaving that pointer
uninitialized.

Bug: https://crbug.com/oss-fuzz/16907

Closes #4286

ROADMAP: updated after recent user poll

In rough prio order

THANKS: remove duplicate

Curl_addr2string: take an addrlen argument too

This allows the function to figure out if a unix domain socket has a
file name or not associated with it! When a socket is created with
socketpair(), as done in the fuzzer testing, the path struct member is
uninitialized and must not be accessed.

Bug: https://crbug.com/oss-fuzz/16699

Closes #4283

CMake: remove needless newlines at end of gss variables

CI: remove duplicate configure flag for LGTM.com

CMake: use platform dependent name for dlopen() library

Closes #4279

quiche: expire when poll returned data

... to make sure we continue draining the queue until empty

Closes #4281

quiche: decrease available buffer size, don't assign it!

Found-by: Jeremy Lainé

RELEASE-NOTES: synced

curl: fix include conditions

plan9: fix installation instructions

Closes #4276

ngtcp2: on h3 stream close, call expire

... to trigger a new read to detect the stream close!

Closes #4275

ngtcp2: build latest ngtcp2 and ngtcp2_crypto_openssl

Closes #4278

ngtcp2: set flow control window to stream buffer size

Closes #4274

CURLOPT_HEADERFUNCTION.3: clarify

Closes #4273

CURLINFO docs: mention that in redirects times are added

Suggested-by: Brandon Dong
Fixes #4250
Closes #4269

travis: enable ngtcp2 builds again

Switched to the openssl-quic-draft-22 openssl branch.

Closes #4271

HTTP3: switched openssl branch to use

ngtcp2: Build with latest ngtcp2 and ngtcp2_crypto_openssl

Closes #4270

http2: when marked for closure and wanted to close == OK

It could otherwise return an error even when closed correctly if GOAWAY
had been received previously.

Reported-by: Tom van der Woerdt
Fixes #4267
Closes #4268

RELEASE-NOTES: synced

build-openssl: fix build with Visual Studio 2019

Reviewed-by: Marcel Raad
Contributed-by: osabc on github
Fixes #4188
Closes #4266

vauth: return CURLE_AUTH_ERROR on gss_init_sec_context() failure

This is a follow-up to https://github.com/curl/curl/pull/3864 .

Closes #4224

KNOWN_BUGS: USE_UNIX_SOCKETS on Windows

Closes #4040

quiche: send the HTTP body correctly on callback uploads

Closes #4265

travis: disable ngtcp2 builds (temporarily)

Just too many API changes right now

Closes #4264

ngtcp2: add support for SSLKEYLOGFILE

Closes #4260

ngtcp2: improve h3 response receiving

Closes #4259

ngtcp2: use nghttp3_version()

ngtcp2: sync with upstream API changes

Assisted-by: Tatsuhiro Tsujikawa

scp: fix directory name length used in memcpy

Fix read off end of array due to bad pointer math in getworkingpath for
SCP home directory case.

Closes #4258

http: the 'closed' struct field is used by both ngh2 and ngh3

and remove 'header_recvbuf', not used for anything

Reported-by: Jeremy Lainé
Closes #4257

ngtcp2: accept upload via callback

Closes #4256

defines: avoid underscore-prefixed defines

Double-underscored or underscore plus uppercase letter at least.

... as they're claimed to be reserved.

Reported-by: patnyb on github
Fixes #4254
Closes #4255

travis: add a build using ngtcp2 + nghttp3 (and a patched OpenSSL)

Runs no tests

Closes #4253

travis: bump to using nghttp2 version 1.39.2

Closes #4252

docs/examples/curlx: fix errors

Initialise 'mimetype' and require the -p12 arg.

Closes #4248

cleanup: remove DOT_CHAR completely

Follow-up to f9c7ba9096ec

The use of DOT_CHAR for ".ssh" was probably a mistake and is removed
now.

Pointed-out-by: Gisle Vanem
Bug: https://github.com/curl/curl/pull/4230#issuecomment-522960638

Closes #4247

spnego_sspi: add typecast to fix build warning

Reported in build "Win32 target on Debian Stretch (64-bit) -
i686-w64-mingw32 - gcc-20170516"

Closes #4245

openssl: build warning free with boringssl

Closes #4244

curl: make --libcurl use CURL_HTTP_VERSION_3

Closes #4243

ngtcp2: make postfields-set posts work

Closes #4242

http: remove chunked-encoding and expect header use for HTTP/3

configure: use pkg-config to detect quiche

This removes the need to hard-code the quiche target path in
configure.ac.

This depends on https://github.com/cloudflare/quiche/pull/128

Closes #4237

CURLOPT_SSL_VERIFYHOST: treat the value 1 as 2

For a long time (since 7.28.1) we've returned error when setting the
value to 1 to make applications notice that we stopped supported the old
behavior for 1. Starting now, we treat 1 and 2 exactly the same.

Closes #4241

curl: use .curlrc (with a dot) on Windows as well

Fall-back to _curlrc if the dot-version is missing.

Co-Authored-By: Steve Holme
Closes #4230

netrc: make the code try ".netrc" on Windows as well

... but fall back and try "_netrc" too if the dot version didn't work.

Co-Authored-By: Steve Holme

ngtcp2: use ngtcp2_version() to get the run-time version

... which of course doesn't have to be the same used at build-time.

Function just recently merged in ngtcp2.

ngtcp2: move the h3 initing to immediately after the rx key

To fix a segfault and to better deal with 0-RTT

Assisted-by: Tatsuhiro Tsujikawa

quiche: register debug callback once and earlier

The quiche debug callback is global and can only be initialized once, so
make sure we don't do it multiple times (e.g. if multiple requests are
executed).

In addition this initializes the callback before the connection is
created, so we get logs for the handshake as well.

Closes #4236

ssh: add a generic Curl_ssh_version function for SSH backends

Closes #4235

base64: check for SSH, not specific SSH backends

vssh: move ssh init/cleanup functions into backend code

vssh: create directory for SSH backend code

TODO/ROADMAP: remove "refuse downgrade redirects" and HTTP/3

HTTP3 is now already in full progress

Downgrade redirects can be achived almost exactly like that by setting
CURLOPT_REDIR_PROTOCOLS.

RELEASE-NOTES: synced

travis: add a quiche build

Closes #4207

http: fix use of credentials from URL when using HTTP proxy

When a username and password are provided in the URL, they were wrongly
removed from the stored URL so that subsequent uses of the same URL
wouldn't find the crendentials. This made doing HTTP auth with multiple
connections (like Digest) mishave.

Regression from 46e164069d1a5230 (7.62.0)

Test case 335 added to verify.

Reported-by: Mike Crowe
Fixes #4228
Closes #4229

tests: Replace outdated test case numbering documentation

Tests are no longer grouped by numeric range[1]. Let's stop saying that
and provide some alternative advice for numbering tests.

[1] https://curl.haxx.se/mail/lib-2019-08/0043.html

Closes #4227

travis: reduce number of torture tests in 'coverage'

... to make it complete in time. This cut seems not almost not affect
the coverage percentage and yet completes within 35 minutes on travis
where the previous runs recently always timed out after 50.

Closes #4223

configure: use -lquiche to link to quiche

Closes #4226

ngtcp2: provide the callbacks as a static struct

... instead of having them in quicsocket

ngtcp2: add missing nghttp3_conn_add_write_offset call

Closes #4225

ngtcp2: deal with stream close

ngtcp2: Consume QUIC STREAM data properly

ngtcp2: don't reinitialize SSL on Retry

multi: getsock improvements for QUIC connecting

connect: connections are persistent by default for HTTP/3

quiche: happy eyeballs

Closes #4220

ngtcp2: do QUIC connections happy-eyeballs friendly

curl_version: bump string buffer size to 250

With HTTP/3 libs and plenty TLS libs, I manged to hit the limit (which
causes a truncated output).

CURLOPT_ALTSVC.3: use a "" file name to not load from a file

vauth: Use CURLE_AUTH_ERROR for auth function errors

- Add new error code CURLE_AUTH_ERROR.

Prior to this change auth function errors were signaled by
CURLE_OUT_OF_MEMORY and CURLE_RECV_ERROR, and neither one was
technically correct.

Ref: https://github.com/curl/curl/pull/3848

Co-authored-by: Dominik Hölzl
Closes https://github.com/curl/curl/pull/3864

curl_version_info: make the quic_version a const

Follow-up from 1a2df1518ad8653f

Closes #4222

examples: add http3.c, altsvc.c and http3-present.c

Closes #4221

nss: use TLSv1.3 as default if supported

SSL_VersionRangeGetDefault returns (TLSv1.0, TLSv1.2) as supported
range in NSS 3.45. It looks like the intention is to raise the minimum
version rather than lowering the maximum, so adjust accordingly. Note
that the caller (nss_setup_connect) initializes the version range to
(TLSv1.0, TLSv1.3), so there is no need to check for >= TLSv1.0 again.

Closes #4187
Reviewed-by: Daniel Stenberg
Reviewed-by: Kamil Dudka

quic.h: remove unused proto

curl_version_info.3: mentioned ALTSVC and HTTP3

... and sorted the list alphabetically

lib/quic.c: unused - removed

CURLOPT_ALTSVC_CTRL.3: remove CURLALTSVC_ALTUSED

Follow-up to 98c3f148 that removed it from the header file

docs/HTTP3: simplify quiche build instruction

Use --recursive to get boringssl in one line

Closes #4219

altsvc: make it use h3-22 with ngtcp2 as well

ngtcp2: initial h3 request work

Closes #4217