TODO: add asynch getaddrinfo support

Closes #6746

RELEASE-NOTES: synced

http2: revert call the handle-closed function correctly on closed stream

Reverts 252790c5335a221

Assisted-by: Gergely Nagy
Fixes #7400
Closes #7525

auth: do not append zero-terminator to authorisation id in kerberos

RFC4752 Section 3.1 states "The authorization identity is not terminated
with a zero-valued (%x00) octet". Although a comment in code said it may
be needed anyway, nothing confirms it. In addition, servers may consider
it as part of the identity, causing a failure.

Closes #7008

auth: use sasl authzid option in kerberos

... instead of deriving it from active ticket.
Closes #7008

auth: we do not support a security layer after kerberos authentication

Closes #7008

auth: properly handle byte order in kerberos security message

Closes #7008

x509asn1: fix heap over-read when parsing x509 certificates

Assisted-by: Patrick Monnerat
Closes #7536

KNOWN_BUGS: Disconnects don't do verbose

Closes #6995

mailmap: fixup Michał Antoniak

build: fix compiler warnings

For when CURL_DISABLE_VERBOSE_STRINGS and DEBUGBUILD flags are both
active.

- socks.c : warning C4100: 'lineno': unreferenced formal parameter
  (co-authored by Daniel Stenberg)

- mbedtls.c: warning C4189: 'port': local variable is initialized but
  not referenced

- schannel.c: warning C4189: 'hostname': local variable is initialized
  but not referenced

Cloes #7528

CODE_STYLE-md: fix bold font style

Markdown gets confused with abundance of asterisks, so use underscores
instead.

Reviewed-by: Daniel Gustafsson
Closes #7569

CODE_STYLE-md: add missing comma

Reviewed-by: Daniel Gustafsson
Closes #7570

examples/ephiperfifo.c: simplify signal handler

The signal handler registered for SIGINT is only handling SIGINT
so there isn't much need for inspecting the signo.  While there,
rename the handler to be more specific.

g_should_exit should really be of sig_atomic_t type, but relying
on autoconf in the examples seems like a bad idea so keep that
for now.

Reviewed-by: Daniel Stenberg
Closes #7310

c-hyper: initial step for 100-continue support

Enabled test 154

Closes #7568

vtls: fix typo in schannel_verify.c

occurence -> occurrence

Closes #7566

curl_url_get.3: clarify about path and query

The current man-page lacks some details regarding the obtained path and
query.

Closes #7563

c-hyper: fix header value passed to debug callback

Closes #7567

cleanup: URL updates

- replace broken URL with the one it was most probably pointing to
  when added (lib/tftp.c)
- replace broken URL with archive.org link (lib/curl_ntlm_wb.c)
- delete unnecessary protocol designator from archive.org URL
  (docs/BINDINGS.md)

Closes #7562

DEPRECATE.md: linkify curl-library mailing list

Closes #7561

output.d: add method to suppress response bodies

Closes #7560

TODO: remove 'c-ares deviates on http://1346569778'

Fixed since 56a037cc0ad1b2 (7.77.0)

BINDINGS.md: update links to use https where available

Closes #7558

asyn-ares.c: move all version number checks to the top

... and use #ifdef [feature] in the code as per our guidelines.

ares: use ares_getaddrinfo()

ares_getaddrinfo() is the getaddrinfo() cloned provided by c-ares, introduced
in version 1.16.0.

With older c-ares versions, curl invokes ares_gethostbyname() twice - once for
IPv4 and once for IPv6 to resolve both addresses, and then combines the
returned results.

Reported-by: jjandesmet
Fixes #7364
Closes #7552

ngtcp2: utilize crypto API functions to simplify

Closes #7551

ngtcp2: reset the oustanding send buffer again when drained

Closes #7538

progress: fix a compile warning on some systems

lib/progress.c:380:40: warning: conversion to 'long double' from
'curl_off_t {aka long long int}' may alter its value [-Wconversion]

Closes #7549

RELEASE-NOTES: synced

http: consider cookies over localhost to be secure

Updated test31.
Added test 392 to verify secure cookies used for http://localhost

Reviewed-by: Daniel Gustafsson
Fixes #6733
Closes #7263

TODO: erase secrets from heap/stack after use

Closes #7268

hostip: Make Curl_ipv6works function independent of getaddrinfo

- Do not assume IPv6 is not working when getaddrinfo is not present.

The check to see if IPv6 actually works is now independent of whether
there is any resolver that can potentially resolve a hostname to IPv6.

Prior to this change if getaddrinfo() was not found at compile time then
Curl_ipv6works() would be defined as a macro that returns FALSE.

When getaddrinfo is not found then libcurl is built with CURLRES_IPV4
defined instead of CURLRES_IPV6, meaning that it cannot do IPv6 lookups
in the traditional way. With this commit if libcurl is built with IPv6
support (ENABLE_IPV6) but without getaddrinfo (CURLRES_IPV6), and the
IPv6 stack is actually working, then it is possible for libcurl to
resolve IPv6 addresses by using DoH.

Ref: https://github.com/curl/curl/issues/7483#issuecomment-890765378

Closes https://github.com/curl/curl/pull/7529

test1565: fix windows build errors

- Use our wait_ms() instead of sleep() since Windows doesn't have the
  latter.

- Use a separate variable to keep track of whether the pthread_t thread
  id is valid.

On Windows pthread_t is not an integer type. pthread offers no macro for
invalid pthread_t thread id, so validity is kept track of separately.

Closes https://github.com/curl/curl/pull/7527

winbuild/README.md: clarify GEN_PDB option

- Document that GEN_PDB option creates an external database.

Ref: https://github.com/curl/curl/issues/7502

ngtcp2: replace deprecated functions with nghttp3_conn_shutdown_stream_read

Closes #7546

ngtcp2: rework the return value handling of ngtcp2_conn_writev_stream

Rework the return value handling of ngtcp2_conn_writev_stream and treat
NGTCP2_ERR_STREAM_SHUT_WR separately.

Closes #7546

configure: error out if both ngtcp2 and quiche are specified

Reported-by: Vincent Grande
See #7539
Closes #7545

easy: use a custom implementation of wcsdup on Windows

... so that malloc/free overrides from curl_global_init are used for
wcsdup correctly.

Closes #7540

zuul: add an mbedtls3 CI job

Closes #7544

mbedTLS: initial 3.0.0 support

Closes #7428

RELEASE-NOTES: synced

configure.ac: revert bad nghttp2 library detection improvements

This reverts commit b4b34db65f9f8, 673753344c5f and 29c7cf79e8b.

The logic is now back to assuming that the nghttp2 lib is called nghttp2 and
nothing else.

Reported-by: Rui Pinheiro
Reported-by: Alex Crichton
Fixes #7514
Closes #7515

happy-eyeballs-timeout-ms.d: polish the wording

Reported-by: Josh Soref
Fixes #7433
Closes #7542

mbedtls_threadlock: fix unused variable warning

Closes #7393

ngtcp2: compile with the latest ngtcp2 and nghttp3

Closes #7541

CI/cirrus: reduce compile time with increased parallism

Cirrus CI VMs have 2 CPUs, let's use them also for Windows builds.

Reviewed-by: Daniel Stenberg
Closes #7505

tool/tests: fix potential year 2038 issues

The length of 'long' in a 32-bit system is 32 bits, which cannot be used
to save timestamps after 2038. Most operating systems have extended
time_t to 64 bits.

Remove the castings to long.

Closes #7466

compressed.d: it's a request, not an order

Clarified

Reported-by: Dan Jacobson
Reviewed-by: Daniel Gustafsson
Fixes #7516
Closes #7517

tests: make three tests pass until 2037

after 2038 something in test1915 fails on 32-bit OSes

Closes #7512

connect: remove superfluous conditional

Commit dbd16c3e2 cleaned up the logic for traversing the addrinfos,
but the move left a conditional on ai which no longer is needed as
the while loop reevaluation will cover it.

Closes #7511
Reviewed-by: Carlo Marcelo Arenas Belón
Reviewed-by: Daniel Stenberg <daniel@haxx.se>

RELEASE-NOTES: synced

and bump curlver to 7.79.0 for next release

tests/*server.py: remove pidfile on server termination

Avoid pidfile leaking/laying around after server already exited.

Reviewed-by: Daniel Stenberg
Closes #7506

tool_main: fix typo in comment

The referred to library is NSPR, so fix the switched around characters.

bearssl: support CURLOPT_CAINFO_BLOB

Closes #7468

curl.1: mention "global" flags

Mention options that are "global". A global command line option is one
that doesn't get reset at --next uses and therefore don't need to be
used again.

Reported-by: Josh Soref
Fixes #7457
Closes #7510

CURLOPT_DOH_URL.3: CURLOPT_OPENSOCKETFUNCTION is not inherited

Reported-by: Daniel Woelfel
Fixes #7441
Closes #7509

KNOWN_BUGS: add more HTTP/3 problems

Closes #7351
Closes #7339
Closes #7125

CI/azure: reduce compile time with increased parallism

Azure Pipelines CI VMs have 2 CPUs, let's use them.

Closes #7489

docs: fix grammar

Fixes https://github.com/curl/curl/issues/7444
Fixes https://github.com/curl/curl/issues/7451
Fixes https://github.com/curl/curl/issues/7465
Closes https://github.com/curl/curl/pull/7495

mail-rcpt.d: fix grammar

Remove confusing sentence that says to specify an e-mail address for
mail transfer, since that's implied.

Reported-by: Josh Soref
Fixes https://github.com/curl/curl/issues/7452
Closes https://github.com/curl/curl/pull/7495

c-hyper: remove the hyper_executor_poll() loop from Curl_http

1. it's superfluous
2. it didn't work identically to the Curl_hyper_stream one which could
   cause problems like #7486

Pointed-out-by: David Cook
Closes #7499

curl-openssl.m4: check lib64 for the pkg-config file

OpenSSL recently started putting the libs in $prefix/lib64 on 'make
install', so we check that directory for pkg-config data if the 'lib'
check fails.

Closes #7503

CURLOPT_SSL_CTX_*.3: tidy up the example

Use the proper code style. Don't store return codes that aren't read.
Copy the same example into CURLOPT_SSL_CTX_FUNCTION.3 as well.

Closes #7500

example/cookie_interface: fix scan-build printf warning

Follow-up to 4b79c4fb565

Fixes #7497
Closes #7498

limit-rate.d: clarify base unit

Fixes #7439
Closes #7494

examples/cookie_interface: avoid printfing time_t directly

time_t representation is undefined and varies on bitsize and signedness,
and as of C11 could be even non integer.

instead of casting to unsigned long (which would truncate in systems
with a 32bit long after 2106) use difftime to get the elapsed time as a
double and print that (without decimals) instead.

alternatively a cast to curl_off_t and its corresponding print
formatting could have been used (at least in POSIX) but portability and
curl agnostic code was prioritized.

Closes #7490

tests/servers: remove obsolete pid variable

Variable is not used since pidfile handling moved to util.[ch]

Reviewed-by: Jay Satiro
Closes #7482

tests/servers: use our platform-aware pid for server verification

The pid used for server verification is later stored as pid2 in
the hash of running test servers and therefore used for shutdown.

The pid used for shutdown must be the platform-aware (Win32) pid
to avoid leaking test servers while running them using Cygwin/msys.

Reviewed-by: Jay Satiro
Closes #7481

tests/runtests.pl: cleanup copy&paste mistakes and unused code

Reviewed-by: Jay Satiro
Part of #7481

RELEASE-NOTES: synced

bumped to 7.78.1 for next release

http_proxy: clear 'sending' when the outgoing request is sent

... so that Curl_connect_getsock() will know how to wait for the socket
to become readable and not writable after the entire CONNECT request has
been issued.

Regression added in 7.77.0

Reported-by: zloi-user on github
Assisted-by: Jay Satiro
Fixes #7155
Closes #7484

openssl: fix grammar

Closes https://github.com/curl/curl/pull/7480

configure.ac: tweak nghttp2 library name fix again

- Change extraction to handle multiple library names returned by
  pkg-config (eg a possible scenario with pkg-config --static).

Ref: https://github.com/curl/curl/pull/7472

Closes https://github.com/curl/curl/pull/7485

Get rid of the unused HAVE_SIG_ATOMIC_T et. al.

It was added in 2006 but I see no evidence it was ever used.

docs: change max-filesize caveat again

- Add protocols field to max-filesize.d.

- Revert wording on unknown file size caveat and do not discuss specific
  protocols in that section.

Partial revert of ecf0225. All max-filesize options now have the list of
protocols and it's clearer just to have that list without discussing
specific protocols in the caveat.

Reported-by: Josh Soref
Ref: https://github.com/curl/curl/issues/7453#issuecomment-884128762

configure: tweak nghttp2 library name fix

commit 29c7cf79e8b44cf (shipped in 7.78.0) introduced a problem by
assuming that LIB_H2 does not have any leading whitespace.  At least
OpenBSD's native pkg-config can produce such whitespace, though:

    $ pkg-config --libs-only-l libnghttp2
     -lnghttp2

As a result, the configure check for libnghttp2 will erroneously fail.

Bug: https://curl.se/mail/lib-2021-07/0050.html
Closes #7472

docs/MQTT: update state of username/password support

PR #7243 implemented username/password support for MQTT, so let's drop
these items from the caveats.

Signed-off-by: Bastian Krause <bst@pengutronix.de>
Closes #7474

CURLMOPT_TIMERFUNCTION.3: remove misplaced "time"

Closes #7470

RELEASE-NOTES: synced

curl 7.78.0 release

winbuild/MakefileBuild.vc: bump copyright year

docs: mention max-filesize options also apply to MQTT transfers

Also make it clearer that the caveat 'if the file size is unknown it
the option will have no effect' may apply to protocols other than FTP
and HTTP.

Reported-by: Josh Soref
Fixes https://github.com/curl/curl/issues/7453

docs/cmdline: fix grammar and typos

dump-header.d: Drop suggestion to use for cookie storage

Since --cookie-jar is the preferred way to store cookies, no longer
suggest using --dump-header to do so.

Co-authored-by: Daniel Stenberg
Closes https://github.com/curl/curl/issues/7414

doc/cmdline: fix grammar and typos

Closes https://github.com/curl/curl/pull/7454
Closes https://github.com/curl/curl/pull/7455
Closes https://github.com/curl/curl/pull/7456
Closes https://github.com/curl/curl/pull/7459
Closes https://github.com/curl/curl/pull/7460
Closes https://github.com/curl/curl/pull/7461
Closes https://github.com/curl/curl/pull/7462
Closes https://github.com/curl/curl/pull/7463

vtls: fix connection reuse checks for issuer cert and case sensitivity

CVE-2021-22924

Reported-by: Harry Sintonen
Bug: https://curl.se/docs/CVE-2021-22924.html

sectransp: check for client certs by name first, then file

CVE-2021-22926

Bug: https://curl.se/docs/CVE-2021-22926.html

Assisted-by: Daniel Gustafsson
Reported-by: Harry Sintonen

telnet: fix option parser to not send uninitialized contents

CVS-2021-22925

Reported-by: Red Hat Product Security
Bug: https://curl.se/docs/CVE-2021-22925.html

connect: fix wrong format specifier in connect error string

0842175 (not in any release) used the wrong format specifier (long int)
for timediff_t. On an OS such as Windows libcurl's timediff_t (usually
64-bit) is bigger than long int (32-bit). In 32-bit Windows builds the
upper 32-bits of the timediff_t were erroneously then used by the next
format specifier. Usually since the timeout isn't larger than 32-bits
this would result in null as a pointer to the string with the reason for
the connection failing. On other OSes or maybe other compilers it could
probably result in garbage values (ie crash on deref).

Before:
Failed to connect to localhost port 12345 after 1201 ms: (nil)

After:
Failed to connect to localhost port 12345 after 1203 ms: Connection refused

Closes https://github.com/curl/curl/pull/7449

winbuild: support alternate nghttp2 static lib name

- Support both nghttp2.lib and nghttp2_static.lib for static nghttp2.

nghttp2 briefly changed its static lib name to nghttp2_static, but then
made the _static suffix optional.

Ref: https://github.com/nghttp2/nghttp2/pull/1394
Ref: https://github.com/nghttp2/nghttp2/pull/1418
Ref: https://github.com/nghttp2/nghttp2/issues/1466

Reported-by: Pierre Yager
Fixes https://github.com/curl/curl/issues/7446
Closes https://github.com/curl/curl/pull/7447

docs/cmdline: fix grammar and typos

Closes https://github.com/curl/curl/pull/7432
Closes https://github.com/curl/curl/pull/7436
Closes https://github.com/curl/curl/pull/7438
Closes https://github.com/curl/curl/pull/7440
Closes https://github.com/curl/curl/pull/7445

delegation.d: mention what happens when used multiple times

Closes https://github.com/curl/curl/pull/7408

create-file-mode.d: mention what happens when used multiple times

Closes https://github.com/curl/curl/pull/7407

config.d: split comments and option-per line

Closes https://github.com/curl/curl/pull/7405

misc: copyright year range updates

mailmap: add Tobias and Timur

docs: spell out directories instead of dirs in create-dirs

Write out directories rather than using the dirs abbrevation. Also
use plural form consistently, even if the code in the end might just
create a single directory.

Closes #7406
Reviewed-by: Daniel Stenberg <daniel@haxx.se>
Reviewed-by: Daniel Gustafsson <daniel@yesql.se>

docs: correct spelling errors and a broken link

Update grammar and spelling in docs and source code comments.

Closes: #7427
Reviewed-by: Daniel Stenberg <daniel@haxx.se>

CI/cirrus: install impacket from PyPI instead of FreeBSD packages

Availability of impacket as FreeBSD package is too flaky.

Stick to legacy version of cryptography which still
supports OpenSSL version 1.0.2 due to FreeBSD 11.

Reviewed-by: Daniel Stenberg
Closes #7418

docs/cmdline: mention what happens when used multiple times

For --dns-ipv4-addr, --dns-ipv6-addr and --dns-servers

Closes #7410
Closes #7411
Closes #7412

lib: fix compiler warnings with CURL_DISABLE_NETRC

warning C4189: 'netrc_user_changed': local variable is initialized but
not referenced

warning C4189: 'netrc_passwd_changed': local variable is initialized but
not referenced

Closes #7423