Test openssl-3.6.0-beta1.

Specify rpath when building OpenSSL.

Factor out OpenSSL install and test more versions.

Move OpenSSL installation into its own script with a "-a" option to
install the "next" version to test for ABI compatibility.

Exclude generated openbsd-compat/include directory.

Add OpenSSL 3.x ABI cross-compatibility test.

Add tests for OpenSSL 3.4 and 3.5 versions.

Build OpenSSL with -j4 to speed it up.

Rerun tests if run_tests.sh changes.

upstream: log at level INFO when PerSourcePenalties actually blocks

access to a source address range. Previously this was logged at level
VERBOSE, which hid enforcement actions under default config settings.

ok dtucker, markus

OpenBSD-Commit-ID: ea2b0d7c2253ff5205719d74b526cf2870df894d

Whitespace.

Move Gihub VMs to their own status line.

Use relative URLs for status

Add VM test targets via vmaction on Github.

upstream: memory leaks in unit tests

OpenBSD-Regress-ID: af11ac7b8034b99ca324af4dae1ef5cd7700b273

upstream: fix leaks of struct sftp_conn in scp; ok dtucker@

OpenBSD-Commit-ID: 76bea50b5b87b750c3771bf80feb6067d994a9d2

upstream: leak of principals file lines; ok dtucker@

OpenBSD-Commit-ID: 918bf1b70e5a969059300f3c23d45911690d9015

upstream: leak of authentication options at exit; ok dtucker@

OpenBSD-Commit-ID: ba559799c2ff9b10afc3abefb1797c0843a6ff24

upstream: memleak of keys not used for authentication; ok

dtucker@

OpenBSD-Commit-ID: ddfda79d243150fbd382d8f2cd75a90a072b3669

upstream: memleak of certificate path; ok dtucker@

OpenBSD-Commit-ID: 90dc5390f2756ba339e2e6df54d4b8651d64c1e7

upstream: memleak of hostkey when downgrading host cert->key; ok

dtucker

OpenBSD-Commit-ID: f6f1f38a8ec144fb615434f6877066cf4610b826

upstream: memleak of editline history; ok dtucker@

OpenBSD-Commit-ID: a244c54eb074cf7fbe28f7ac4f03ace270f7a999

upstream: memleak of rfwd callback context; ok dtucker@

OpenBSD-Commit-ID: 70b2aafeaace90703dd16a44a2a0b723d9155f33

upstream: memleaks of request packet and hostkeys blob; ok

dtucker@

OpenBSD-Commit-ID: 313b13a8e36b4ca8e064ee56792e67e0670a386a

upstream: memleak of KRL revoked certs struct; ok dtucker

OpenBSD-Commit-ID: f319868e0b2de49c41c735e75b87c403f009f5f9

upstream: memleak of kex->server_sig_algs; ok dtucker@

OpenBSD-Commit-ID: 41a3f64edd2c9b8addb2e445514ae25c24819e2c

upstream: fix memleak of channel forwarding permissions; ok

dtucker@

OpenBSD-Commit-ID: 069745547109bc8fcc09fab5b19c53599cae99fd

upstream: when merging auth options into the active set, don't

leak the old struct sshauthopt; ok dtucker@

OpenBSD-Commit-ID: c6bfd7bc2932e37f811b3c53272c3b919d33e75b

upstream: fix memleak when applying certificate options; ok

dtucker

OpenBSD-Commit-ID: 36c219dcc05f4df82a0f9c500bdf5dbfea925289

upstream: disable ssh-add autoexpiry of certificates when testing

expired certificates

OpenBSD-Regress-ID: 64aadd23d37fd0b3a06498151f2cf83be7ac342c

upstream: correct getopt() string

OpenBSD-Commit-ID: 05ef9581a3dab32ec93aa5b9c3349ed1e7da9ec8

upstream: need time.h for time(3)

OpenBSD-Commit-ID: 530964039cccab679432b6c5b28d2b0aa9760b00

upstream: When adding certificates to an agent, set the expiry to

the certificate expiry time plus a short (5 min) grace period.

This will cause the agent to automtically remove certificates shortly
after they expire.

A new ssh-add -N option disables this behaviour.

Feedback/ok deraadt@

OpenBSD-Commit-ID: 92fed1bba1025069ad45deebb534be7530e181df

upstream: remove unused 0-sized files; ok deraadt@

OpenBSD-Commit-ID: 7e8178786157e863f6ff63c5d55200d7b6b04f9e

upstream: Tabs->spaces. Removes diff vs portable.

OpenBSD-Commit-ID: 06598021a9f08188dab29ac956b2baa002a0ff85

modified:   regress/rekey.sh
Fix for when building out of tree.

Accept OpenSSL 4.0.0-dev versions.

They seem to work, at least for now.

Use SSH_TUN_COMPAT_AF on FreeBSD.

Otherwise tun forwarding from other OSes fails as soon as the first IPv6
message is sent by the other side (which is usually a Router Solicitation
ICMPv6 message which is sent as soon as the interface is up): all other
OS'es use SSH_TUN_COMPAT_AF or SSH_TUN_PREPEND_AF which effectively uses
OpenBSD AF_INET/AF_INET6 values.

Check for nlist function.

Check for nlist function presence before attenmpting to use it instead
of relying on the presence of the nlist.h header.  Mac OS X, in particular
has the header, but only has the function in the 32bit libraries.

upstream: Order includes as per KNF and add time.h. Removes diff

vs portable.

OpenBSD-Commit-ID: 38043f0bfa17c48ef6d1a744c2834b4405bc9311

upstream: Order headers as per KNF. Removes diff vs portable.

OpenBSD-Commit-ID: 4df519fd9fa13ce9653adf7a3d1076e20591d886

upstream: Order headers as per KNF.

OpenBSD-Commit-ID: 7156b69b0364c68e181e0f6fa17c0f05c72e8670

Resync header order with upstream.

Resync header order with upstream.

Sync includes with upstream.

Move ssh-pkcs11.h include to match upstream.

Reorder includes to match upstream.

upstream: Order headers as per KNF. Removes diff vs portable.

OpenBSD-Commit-ID: db72be57429418f6a4319bbe34c98fc103e11ce0

upstream: Order headers as per KNF. Also removes diff vs

-portable.

OpenBSD-Commit-ID: 2061307dc938712e524bc9da48a52f545e43670e

upstream: Remove unused rmd160.h header. ripemd160 support was

removed in 2017.

OpenBSD-Commit-ID: 937fca21498b921adf6e04bac120f4a2e7975b3c

Create replacement nlist.h if needed.

Remove #ifdef HAVE_NLIST_H wrapper.  ok djm@

Create replacement endian.h if needed.

Remove #ifdef HAVE_ENDIAN_H wrapper.  ok djm@

Add /* WITH_OPENSSL */ comments.

Removes diffs vs upstream.

Move sys/time.h include to match upstream.

Create replacement netgroup.h if needed.

Remove #ifdef HAVE_NETGROUP_H wrapper.  ok djm@

Remove stray #endif left from previous.

Create replacement libgen.h if needed.

Remove #ifdef HAVE_LIBGEN_H wrapper.  ok djm@

Create replacement sys/un.h if needed.

Remove #ifdef HAVE_SYS_UN_H wrapper.  ok djm@

Reformat replacement header check one per line.

Create replacement time.h if needed.

Remove #ifdef HAVE_TIME_H wrapper.  ok djm@

Create replacement sys/stat.h if needed.

Remove #ifdef HAVE_SYS_STAT_H wrapper.  ok djm@

Create replacement sys/time.h if needed.

Remove #ifdef HAVE_SYS_TIME_H wrapper.  ok djm@

Create replacement ifaddrs.h if needed.

Remove #ifdef HAVE_IFADDRS_H wrapper.  ok djm@

Create replacement util.h if needed.

Remove #ifdef HAVE_UTIL_H wrapper.  ok djm@

Create replacement paths.h if needed.

Remove #ifdef HAVE_PATHS_H wrapper.  ok djm@

Create replacement poll.h if needed.

Remove #ifdef HAVE_POLL_H wrapper.  ok djm@

Fill in missing system header files.

Create replacement header files inside openbsd-compat for common headers
that are missing on a given platform.  Usually these are just empty,
but in some cases they'll include the equivalent file.  This avoids
having to wrap those includes in '#ifdef HAVE_FOO_H' and reduces the
diff vs OpenBSD.

If we create any such headers, add the path to includes.

Initially just stdint.h, more to follow.

ok djm@

upstream: repair test after changes to percent expansion of usernames

on the commandline.

Test more cases that should/shouldn't expand and lightly test
username validity checks.

OpenBSD-Regress-ID: ad4c12c70bdf1f959abfebd1637ecff1b49a484c

upstream: unit tests for sshbuf_equals and sshbuf_dtourlb64; ok

deraadt@

OpenBSD-Regress-ID: bab54e2d4caa813036a63ee67e92c93e6712a5b9

upstream: unit tests for a bunch of misc.c functions; ok deraadt@

OpenBSD-Regress-ID: 886cf142605405e777ee77a96b48694dc2e9235d

upstream: fix sshbuf_dtourlb64() to not choke on empty buffers;

previously it incorrectly returned an error in this situation; ok deraadt

OpenBSD-Commit-ID: e62773d6e8cb95a19aab54f0af0edbcd47b345c0

upstream: fix rtrim() function to not attempt to delete whitespace

inside a string, just at the end. ok deraadt@

OpenBSD-Commit-ID: d44deaa43580cd88de978dd5509b14e905b67b84

upstream: don't allow \0 characters in url-encoded strings.

Suggested by David Leadbeater, ok deraadt@

OpenBSD-Commit-ID: c92196cef0f970ceabc1e8007a80b01e9b7cd49c

upstream: Improve rules for %-expansion of username.

Usernames passed on the commandline will no longer be subject to
% expansion. Some tools invoke ssh with connection information
(i.e. usernames and host names) supplied from untrusted sources.
These may contain % expansion sequences which could yield
unexpected results.

Since openssh-9.6, all usernames have been subject to validity
checking. This change tightens the validity checks by refusing
usernames that include control characters (again, these can cause
surprises when supplied adversarially).

This change also relaxes the validity checks in one small way:
usernames supplied via the configuration file as literals (i.e.
include no % expansion characters) are not subject to these
validity checks. This allows usernames that contain arbitrary
characters to be used, but only via configuration files. This
is done on the basis that ssh's configuration is trusted.

Pointed out by David Leadbeater, ok deraadt@

OpenBSD-Commit-ID: e2f0c871fbe664aba30607321575e7c7fc798362

missing header

upstream: simplify algorithm list functions using xextendf(); ok

dtucker@

OpenBSD-Commit-ID: ffc5f8d0c25b95705a8a66c8b634f98d23bd92dc

upstream: unit test for xextendf()

OpenBSD-Regress-ID: ddb3b4db1a52dda23696b967470882fe2b9c3af7

upstream: fix comment on sshbuf_froms() - it *returns* an error

code, the allocated buffer is passed via argument

OpenBSD-Commit-ID: b2b0a76df71328f39c3e2ad941a4d87085d8335d

upstream: GssStrictAcceptor was missing from sshd -T output; fix

OpenBSD-Commit-ID: 6014049ccfedc48a208e37d5488ade6bdc2d1c44

portable-specific comment grammer/spelling fixes

upstream: grammar and typos in comments

OpenBSD-Commit-ID: de954daffcd0147ce142d55e8a374810cd19d7ed

replace remaining manual logging of __func__

Use the appropriate log macro that prepends the function name
(e.g. logit_f/debug2_f/etc).

upstream: replace remaining cases where we manually included __func__

in a debug or error log with the respective *_f log variant

OpenBSD-Commit-ID: 46a280d78bcc0bc98f28e65a30b613366600328f

upstream: test MaxStatups idempotency; ok dtucker@

OpenBSD-Regress-ID: b5d713c2709000fa5e41d82c0cf8627e13cb43f9

upstream: benchmark more diffie-hellman-group* KEXs

use current KEX names, i.e. remove the "@openssh.com" where the KEX
has been standardised

OpenBSD-Regress-ID: a67e9da4efd9a971d39cb2481093f836046f9b7f

upstream: fix previous

OpenBSD-Commit-ID: 09d95dfb5e064a1d0e74afba8d77474cc1d110a4

upstream: Make MaxStartups and PerSourceNetBlockSize first-match-wins

as advertised. bz3859 reported by jan.v.hofmann; ok dtucker

OpenBSD-Commit-ID: 08f7786f1b3b4a05a106cdbd2dc5f1f2d8299447

upstream: remove experimental support for XMSS keys;

ok deraadt markus

OpenBSD-Commit-ID: 38eaf4df6189acad9e46eddf7cf32d7f6d07df35

upstream: ssh_config.5: say "post-quantum" instead of "post quantum

safe", and rephrase the sentence to make it easier to read.

Input djm@, input and OK deraadt@, OK dtucker@

OpenBSD-Commit-ID: c3ee4d1cafdcfc20cc0d2f086021efce4b19c075

upstream: Delete unused accessor function

OK dtucker@

OpenBSD-Commit-ID: 93b59ac088fb254e1189729ece5bb9656d6e810b

Fix pledge(2) special casing

Unbreaks non-OpenBSD platforms

Match version instead of groups in connect-bigconf

The connect-bigconf makes a giant config file to test config passing
between the sshd subprocesses. Previously it used a bunch of "Match
group" lines to construct a large file. However checking group
membership can be expensive (e.g. if a large groups database is
present or if group lookup is remote via NSS). This could be slow
enough to exceed LoginGraceTime.

This switches it to "Match version" which is just a string compare
and does just as well for making a giant nonsense config file.

depend

check for setsockopt IP_TOS in OpenBSD pledge

OpenBSD has recently relaxed the pledge(2) sandbox to allow some
setsockopt options to be changed without the "inet" promise.

This adds compatibility for OpenBSD that predates this relaxation.

upstream: cast

OpenBSD-Commit-ID: d69bd2328513c2dcd99f4f346b77e2bd90cf1964

upstream: missing set_log_handler() call in ssh-auth.c, exposed after

last commit

OpenBSD-Commit-ID: 09f5c3cf33c18b8ad321edbf96c30ae3deada2b0

depend

wrap SIGINFO in ifdef

upstream: Make ssh(1) and sshd(8) set IP QoS (aka IP_TOS, IPV6_TCLASS)

continually at runtime based on what sessions/channels are open.

Previously, ssh(1) and sshd(8) would pick a QoS value when they
were started and use it for the whole connection. This could
produce suboptimal choices for the QoS value, e.g. for multiplexed
sessions that started interactive but picked up a sftp client,
or sessions that moved large amounts of data via port forwarding.

Now the QoS value will change to the non-interactive IPQoS whenever
a "non-interactive" channel is open; basically any channel that lacks
a tty other than agent forwarding.

This is important now that the default interactive IPQoS is EF
(Expedited Forwarding), as many networks are configured to allow
only relatively small amounts of traffic of this class and they will
aggressively deprioritise the entire connection if this is exceeded.

NB. because ssh(1) and sshd(8) now change IP_TOS/IPV6_TCLASS
continually via setsockopt(), this commit requires a recent pledge(2)
change that landed recently in the OpenBSD kernel. Please ensure
you have updated to a kernel from within the last two weeks before
updating OpenSSH.

with job@ deraadt@

OpenBSD-Commit-ID: 325fc41717eecdf5e4b534bfa8d66817425b840f

upstream: SIGINFO handler for sshd(8) to dump active

channels/sessions ok deraadt@

OpenBSD-Commit-ID: 9955cb6d157c6d7aa23a819e8ef61b1edabc8b7d

upstream: SIGINFO handler for ssh(1) to dump active

channels/sessions ok deraadt@

OpenBSD-Commit-ID: 12f88a5044bca40ef5f41ff61b1755d0e25df901