Merge sudo 1.8.20 from tip

--HG--
branch : 1.8

Only display string version of errno if sudo_ev_add() fails for now

update

Be clear that #includedir diverts control to the files in the
specified directory and, when parsing of those files is complete,
returns control to the original file.  Bug #775

sync with translationproject.org

update

Fix a hang introduced in the last commit.  Don't close the pty slave
until after we have the controlling tty.

If any of std{in,out,err} are not hooked up to a tty only interpose
ourselves with a pipe if the plugin will actually log the data.
This avoids a problem with non-interactive commands where no tty
is present where sudo will consume stdin even when log_input is not
enabled in sudoers.

update

Update based on information from Michael Felt.

In check_input() when switch()ing on the return value of read(),
use the default label instead of 1 for the success case.  It is
only reading a single byte so the two are equivalent but it reads
better using default.

Check sudo_ev_add() return value.  Coverity CID 168362

Add io_open() wrapper for open(2) that retries with PERM_IOLOG if
open(2) fails with EACCES.  Use io_open() instead of duplicate
copies of the same fallback code.

Don't retry the open() if set_perms() fails.

Fix typo (fd2 vs. fd) caught by coverity, CID 168359.

sync with translationproject.org

Warn people not to use --enable-asan in production.

Move the invocation of check_noexec into the main "check" target
but only run it if not cross compiling and whe CHECK_NOEXEC is not
empty.

Move @CHECK_NOEXEC@ to TEST_PROGS so it gets cleaned up properly.

Move syslog_maxlen to the "Integers" section.  Move syslog_goodpri and
syslog_badpri to the "Strings at can be used in a boolean context" section.

Fix a pasto that resulted in an extra (empty) syslog_goodpri list entry.

Add tests for parsing tuples and syslog options.

Allow the syslog Defaults option to be used in a "true" boolean
context and use the compiled in default log facility in this case.

Allow a tuple to be set to boolean true.  Regression introduced by
refactor of set_default_entry() in sudo 1.8.18.

Replace the list of "dangerous" environment variables and explain
how sudo handles the environment instead.

Fix exponential behavior in glob() with respect to multiple '*'.
See https://research.swtch.com/glob
Adapted from https://perl5.git.perl.org/perl.git/commit/33252c318625f3c6c89b816ee88481940e3e6f95

We no longer need to write to the tty if the command was killed by
a signal.  Sudo will terminate itself with the same signal the
command died from.  Unfortunately, we lose the "core dumped" bit
since sudo itself will not dump core, but there doesn't appear to
be a way around that.

On Linux, if the command we ran dumped core, set PR_SET_DUMPABLE
to 0.  This will prevent sudo itself from dumping core in this case.

Update path to sudo_noexec.so

If the command terminated due to a signal, sudo will send that same
signal to itself so the parent shell knows the command died from
a signal.  However, we don't want sudo itself to dump core.

sync

The fix for Bug #722 contained a typo/thinko that resulted in the
exit status being 0 when a command was killed by a signal other
than SIGINT.  This fixes the signal handler setup so sudo will
terminate with the same signal as the command.  Bug #784.

Better check for /etc/rc.d/rc2.d/S90sudo on AIX

Don't install the rc.d link when installing to a DESTDIR.
DESTDIR is generally only set when installing to a temporary
directory for packaging in which case the link should be
made in a post-install script.

In "make install", install sample sudoers file as /etc/sudoers.dist
and copy it to /etc/sudoers if there is no existing /etc/sudoers.
Packages either contain /etc/sudoers (RPM and Debian) or /etc/sudoers.dist
(everything else).

Allow "make dist" and "make depend" to work for out of tree builds.

Add missing $(srcdir) prefix to shlib_exp definition.

Fix typo in killpg macro.

Fix the killpg macro for systems without killpg() in libc.

Use the standard idiom for popping all entries from a tail queue.
The llvm checker gets confused by TAILQ_REMOVE and generate
use-after-free false positives.

rewrite errpipe callbacks

use pipe2() with O_CLOEXEC instead of pipe() + fcntl() and FD_CLOEXEC

init io_pipe[][] to -1, not 0

In sudo_sss_check_user() it is not possible for handle to be NULL.

Fix a use after free when the fqdn sudoOption is set and no hostname
value is present in sssd.conf.

Avoid unused variable when getgrouplist_2() is available.
It would be nicer to just provide getgrouplist_2() (or the equivalent)
and avoid the ugly #ifdefs.

sync with translationproject.org

regen

In sudo_ttyname_scan() if dir is the empty string, set errno to
ENOENT before returning.

Try to make it clear that when match_group_by_gid is enabled, groups
in sudoers are looked up by group name instead of group ID.  This
doesn't usually cause problems, but if there are conflicting group
entries (for example, from a local /etc/group file and an LDAP or
AD group database), whether the group is resolved by name or ID can
be used to work around conflicts.

sync with translationproject.org

plug memory leak in check_digest

Check return value of dispatch_pending_signals() in case we received
SIGINT or SIGQUIT before executing the command.

back out unintentional change to the version number

sync with translationproject.org

Make check_digest test sudo_filedigest() itself instead of the
underlying SHA2 functions.  That way we can test it regardless of
whether we use sudo's SHA2 functions or a library version.

Document that commands matched by "sudo ALL" are not affected by
fdexec.

Update for 1.8.20

regen for restricted_env_file

Mention that iolog_user is useful for NFS.

Only retry mkdir or create with PERM_IOLOG if errno is EACCES.
Also always use PERM_IOLOG for mkdtemp() since we cannot retry
if it fails.  Since we are guaranteed to create a new directory
there's no real need to try w/o PERM_IOLOG in this case.

Add fallback to PERM_IOLOG when making the final componenet of iolog_dir.

Add restricted_env_file which is like env_file but subject to the
same restrictions as the user's own environment.

quiet a warning on older zlib

cast mode_t to unsigned int when printing with %o

regen

Set umask temporarily when creating files instead of changing the
mode after the fact.  This is slightly less error prone.

remove now-useless variable

Don't set owner/mode on directories that already exist, only on
newly-created ones.

Explicitly set the file mode of I/O log files so the mode is not
affected by the invoking user's umask.

Add PERM_IOLOG so we can create I/O log files on an NFS-mounted
filesystem where root is remapped to an unprivileged user.

Restore the '/' in the path before returning if we encounter an error.

When creating the timestamp directory, use the group of the timestamp
owner instead of inheriting the group of the parent directory.

zero out nss->handle after it has been freed to make sure we cannot free it twice

Add iolog_flush option.

Don't allow the user to specify an I/O log file mode that sudo can't
read or write to.  I/O logs must always be readable and writable
by the owner.

Regenerate the cat pages with newer mandoc which formats double
quotes as "foo" instead of ``foo''.

Make it clear that I/O logs will be complete even if the command
run by sudo is terminated by a signal.  The I/O log buffering just
prevents the logs from being displayed in real-time as the command
is running.

Replace pipe_nonblock() with pipe2()

Emulate pipe2() on systems without it.

Fix declaration of sudo_krb5_verify() in the case where krb5_verify_user()
is not present.  Bug #777

Use HAVE_STDBOOL_H to detect systems w/o stdbool.h.
Bug #778

regen

Move SIGCHLD handling into handle_sigchld() functions and move the
remaining bits of dispatch_signal() into signal_pipe_cb()

e_termination should be set to the value of WTERMSIG not WEXITSTATUS

Add tcsetpgrp_nobg() which acts like tcsetpgrp() but returns -1
for a background process.  This is safer than blocking SIGTTOU
which would cause tcsetpgrp() to succeed in the background.

Prevent sudo from receiving SIGTTOU when it tries to restore the
controlling terminal.  There appears to be a race with the shell
(bash) which we may lose.

Add some casts to quiet gcc warnings on Solaris and remove a
now-useless debug printf.

change debug info when suspending sudo

Reorganize the command execution code to separate out the pty and
non-pty code paths into their own event loops.  The non-pty exec
code is now contained in exec_nopty.c and the pty exec code is split
between exec_pty.c (parent process) and exec_monitor.c (session leader).
This results in a small bit of duplicated code but improves readability.
Some of the duplicated code will fall out in future changes to the
event subsystem (the signal pipe).

Remove support for the TIOCGSIZE ioctl.  Systems that use this
rather than TIOCGWINSZ are too old for sudo to build on anyway.

Set the child pid to -1 after we've waited for it and take care to
avoid killing pid -1.  This makes it a bit more explicit and removes
the need for a separate variable to track the child's status.
Sudo already stops processing signals after it receives SIGCHLD so
it is not vulnerable to CVE-2017-2616.

Update the description of strict mode to current reality.  Aliases
haven't needed to be defined before they are used since sudo 1.7.

Go back to using a Warning/Error prefix in the message printed to
stderr for alias problems.  Requested by Tomas Sykora.

fix copyright years

Add support for using the message digest functions in libgcrypt
instead of sudo's own SHA2 implementation.

Add support for using the message digest functions in OpenSSL instead
of sudo's own SHA2 implementation.

Move the file digest code out of match.c and into filedigest.c.
Inspired by RedHat changes that used libgcrypt.
Also add digest_type_to_name() to map a sudo digest type (int)
to a name (string) and use it.

Check for gmtime() or localtime() returning NULL and just use a
zero offset in that case.  Should not be possible.

Add support for ROLE, TYPE, PRIVS, LIMITPRIVS, TIMEOUT, NOTBEFORE
and NOTAFTER.