upstream: mention that /etc/hosts.equiv and /etc/shosts.equiv are

not considered for HostbasedAuthentication when the target user is root;
bz3148

OpenBSD-Commit-ID: fe4c1256929e53f23af17068fbef47852f4bd752

upstream: make IgnoreRhosts a tri-state option: "yes" ignore

rhosts/shosts, "no" allow rhosts/shosts or (new) "shosts-only" to allow
.shosts files but not .rhosts. ok dtucker@

OpenBSD-Commit-ID: d08d6930ed06377a80cf53923c1955e9589342e9

upstream: allow the IgnoreRhosts directive to appear anywhere in a

sshd_config, not just before any Match blocks; bz3148, ok dtucker@

OpenBSD-Commit-ID: e042467d703bce640b1f42c5d1a62bf3825736e8

upstream: add space between macro arg and punctuation;

OpenBSD-Commit-ID: e579e4d95eef13059c30931ea1f09ed8296b819c

Add sys/syscall.h for syscall numbers.

In some architecture/libc configurations we need to explicitly include
sys/syscall.h for the syscall number (__NR_xxx) definitions.  bz#3085,
patch from blowfist at xroutine.net.

upstream: Refactor private key parsing. Eliminates a fair bit of

duplicated code and fixes oss-fuzz#20074 (NULL deref) caused by a missing key
type check in the ECDSA_CERT parsing path.

feedback and ok markus@

OpenBSD-Commit-ID: 4711981d88afb7196d228f7baad9be1d3b20f9c9

upstream: Add tests for TOKEN expansion of LocalForward and

RemoteForward.

OpenBSD-Regress-ID: 90fcbc60d510eb114a2b6eaf4a06ff87ecd80a89

upstream: Add utf8.c for asmprintf used by krl.c

OpenBSD-Regress-ID: 433708d11165afdb189fe635151d21659dd37a37

upstream: Add TOKEN percent expansion to LocalFoward and RemoteForward

when used for Unix domain socket forwarding.  Factor out the code for the
config keywords that use the most common subset of TOKENS into its own
function. bz#3014, ok jmc@ (man page bits) djm@

OpenBSD-Commit-ID: bffc9f7e7b5cf420309a057408bef55171fd0b97

upstream: let sshkey_try_load_public() load public keys from the

unencrypted envelope of private key files if not sidecar public key file is
present.

ok markus@

OpenBSD-Commit-ID: 252a0a580e10b9a6311632530d63b5ac76592040

upstream: simplify sshkey_try_load_public()

ok markus@

OpenBSD-Commit-ID: 05a5d46562aafcd70736c792208b1856064f40ad

upstream: add sshkey_parse_pubkey_from_private_fileblob_type()

Extracts a public key from the unencrypted envelope of a new-style
OpenSSH private key.

ok markus@

OpenBSD-Commit-ID: 44d7ab446e5e8c686aee96d5897b26b3939939aa

upstream: simplify sshkey_parse_private_fileblob_type()

Try new format parser for all key types first, fall back to PEM
parser only for invalid format errors.

ok markus@

OpenBSD-Commit-ID: 0173bbb3a5cface77b0679d4dca0e15eb5600b77

upstream: check private key type against requested key type in

new-style private decoding; ok markus@

OpenBSD-Commit-ID: 04d44b3a34ce12ce5187fb6f6e441a88c8c51662

upstream: check that pubkey in private key envelope matches actual

private key

(this public key is currently unusued)

ok markus@

OpenBSD-Commit-ID: 634a60b5e135d75f48249ccdf042f3555112049c

upstream: refactor private key parsing a little

Split out the base64 decoding and private section decryption steps in
to separate functions. This will make the decryption step easier to fuzz
as well as making it easier to write a "load public key from new-format
private key" function.

ok markus@

OpenBSD-Commit-ID: 7de31d80fb9062aa01901ddf040c286b64ff904e

Include openssl-compat.h before checking ifdefs.

Fixes problem where unsuitable chacha20 code in libressl would be used
unintentionally.

fix inverted test for LibreSSL version

upstream: Indicate if we're using a cached key in trace output.

OpenBSD-Regress-ID: 409a7b0e59d1272890fda507651c0c3d2d3c0d89

Use /usr/bin/xp4g/id if necessary.

Solaris' native "id" doesn't support the options we use but the one
in /usr/bin/xp4g does, so use that instead.

upstream: Some platforms don't have "hostname -s", so use cut to trim

short hostname instead.

OpenBSD-Regress-ID: ebcf36a6fdf287c9336b0d4f6fc9f793c05307a7

upstream: Compute hash locally and re-enable %C tests.

OpenBSD-Regress-ID: 94d1366e8105274858b88a1f9ad2e62801e49770

prefer libcrypto chacha20-poly1305 where possible

upstream: Temporarily remove tests for '%C' since the hash contains the

local hostname and it doesn't work on any machine except mine... spotted by
djm@

OpenBSD-Regress-ID: 2d4c3585b9fcbbff14f4a5a5fde51dbd0d690401

upstream: r1.522 deleted one too many lines; repair

OpenBSD-Commit-ID: 1af8851fd7a99e4a887b19aa8f4c41a6b3d25477

upstream: sort -N and add it to usage();

OpenBSD-Commit-ID: 5b00e8db37c2b0a54c7831fed9e5f4db53ada332

upstream: avoid another compiler warning spotted in -portable

OpenBSD-Commit-ID: 1d29c51ac844b287c4c8bcaf04c63c7d9ba3b8c7

upstream: this needs utf8.c too

OpenBSD-Regress-ID: 445040036cec714d28069a20da25553a04a28451

upstream: Add percent_expand test for 'Match Exec'.

OpenBSD-Regress-ID: a41c14fd6a0b54d66aa1e9eebfb9ec962b41232f

upstream: fix format string (use %llu for uint64, not %lld). spotted by

Darren and his tinderbox tests

OpenBSD-Commit-ID: 3b4587c3d9d46a7be9bdf028704201943fba96c2

upstream: Add a flag to re-enable verbose output when in batch

mode; requested in bz3135; ok dtucker

OpenBSD-Commit-ID: 5ad2ed0e6440562ba9c84b666a5bbddc1afe2e2b

upstream: chacha20-poly1305 AEAD using libcrypto EVP_chacha20

Based on patch from Yuriy M. Kaminskiy. ok + lots of assistance along the
way at a2k20 tb@

OpenBSD-Commit-ID: 5e08754c13d31258bae6c5e318cc96219d6b10f0

upstream: make Chacha20-POLY1305 context struct opaque; ok tb@ as

part of a larger diff at a2k20

OpenBSD-Commit-ID: a4609b7263284f95c9417ef60ed7cdbb7bf52cfd

upstream: fix debug statement

OpenBSD-Commit-ID: 42c6edeeda5ce88b51a20d88c93be3729ce6b916

upstream: the tunnel-forwarding vs ExitOnForwardFailure fix that I

committed earlier had an off-by-one. Fix this and add some debugging that
would have made it apparent sooner.

OpenBSD-Commit-ID: 082f8f72b1423bd81bbdad750925b906e5ac6910

upstream: %C expansion just added to Match Exec should include

remote user not local user.

OpenBSD-Commit-ID: 80f1d976938f2a55ee350c11d8b796836c8397e2

upstream: Add regression test for percent expansions where possible.

OpenBSD-Regress-ID: 7283be8b2733ac1cbefea3048a23d02594485288

upstream: make failures when establishing "Tunnel" forwarding terminate

the connection when ExitOnForwardFailure is enabled; bz3116; ok dtucker

OpenBSD-Commit-ID: ef4b4808de0a419c17579b1081da768625c1d735

upstream: Make with config keywords support which

percent_expansions more consistent.  - %C is moved into its own function and
added to Match Exec.  - move the common (global) options into a macro.  This
is ugly but it's    the least-ugly way I could come up with.  - move
IdentityAgent and ForwardAgent percent expansion to before the    config dump
to make it regression-testable.  - document all of the above

ok jmc@ for man page bits, "makes things less terrible" djm@ for the rest.

OpenBSD-Commit-ID: 4b65664bd6d8ae2a9afaf1a2438ddd1b614b1d75

upstream: give ssh-keygen the ability to dump the contents of a

binary key revocation list: ssh-keygen -lQf /path bz#3132; ok dtucker

OpenBSD-Commit-ID: b76afc4e3b74ab735dbde4e5f0cfa1f02356033b

upstream: add allocating variant of the safe utf8 printer; ok

dtucker as part of a larger diff

OpenBSD-Commit-ID: 037e2965bd50eacc2ffb49889ecae41552744fa0

upstream: Cast lifetime to u_long for comparison to prevent unsigned

comparison warning on 32bit arches.  Spotted by deraadt, ok djm.

OpenBSD-Commit-ID: 7a75b2540bff5ab4fa00b4d595db1df13bb0515a

Include fido.h when checking for fido/credman.h.

It's required for fido_dev_t, otherwise configure fails with
when given --with-security-key-builtin.

upstream: some more speeling mistakes from

OpenBSD-Regress-ID: 02471c079805471c546b7a69d9ab1d34e9a57443

upstream: improve error messages for some common PKCS#11 C_Login

failure cases; based on patch from Jacob Hoffman-Andrews in bz3130; ok
dtucker

OpenBSD-Commit-ID: b8b849621b4a98e468942efd0a1c519c12ce089e

upstream: use sshpkt_fatal() for kex_exchange_identification()

errors. This ensures that the logged errors are consistent with other
transport- layer errors and that the relevant IP addresses are logged. bz3129
ok dtucker@

OpenBSD-Commit-ID: 2c22891f0b9e1a6cd46771cedbb26ac96ec2e6ab

upstream: Don't clear alarm timers in listening sshd. Previously

these timers were used for regenerating the SSH1 ephemeral host keys but
those are now gone so there's no need to clear the timers either.  ok
deraadt@

OpenBSD-Commit-ID: 280d2b885e4a1ce404632e8cc38fcb17be7dafc0

upstream: spelling errors in comments; no code change from

OpenBSD-Commit-ID: 166ea64f6d84f7bac5636dbd38968592cb5eb924

upstream: when downloading FIDO2 resident keys from a token, don't

prompt for a PIN until the token has told us that it needs one. Avoids
double-prompting on devices that implement on-device authentication (e.g. a
touchscreen PIN pad on the Trezor Model T). ok dtucker@

OpenBSD-Commit-ID: 38b78903dd4422d7d3204095a31692fb69130817

sync fnmatch.c with upstream to fix another typo

another spelling error in comment

spelling mistakes

from https://fossies.org/linux/misc/openssh-8.2p1.tar.gz/codespell.html

upstream: fix relative includes in sshd_config; ok djm

OpenBSD-Commit-ID: fa29b0da3c93cbc3a1d4c6bcd58af43c00ffeb5b

upstream: fix use-after-free in do_download_sk; ok djm

OpenBSD-Commit-ID: 96b49623d297797d4fc069f1f09e13c8811f8863

upstream: do not leak oprincipals; ok djm

OpenBSD-Commit-ID: 4691d9387eab36f8fda48f5d8009756ed13a7c4c

upstream: initialize seconds for debug message; ok djm

OpenBSD-Commit-ID: 293fbefe6d00b4812a180ba02e26170e4c855b81

upstream: correct return code; ok djm

OpenBSD-Commit-ID: 319d09e3b7f4b2bc920c67244d9ff6426b744810

upstream: principalsp is optional, pubkey required; ok djm

OpenBSD-Commit-ID: 2cc3ea5018c28ed97edaccd7f17d2cc796f01024

upstream: remove unused variables in ssh-pkcs11-helper; ok djm

OpenBSD-Commit-ID: 13e572846d0d1b28f1251ddd2165e9cf18135ae1

upstream: return correct error in sshsk_ed25519_sig; ok djm

OpenBSD-Commit-ID: 52bf733df220303c260fee4f165ec64b4a977625

upstream: fix possible null-deref in check_key_not_revoked; ok

djm

OpenBSD-Commit-ID: 80855e9d7af42bb6fcc16c074ba69876bfe5e3bf

upstream: ssh_fetch_identitylist() returns the return value from

ssh_request_reply() so we should also check against != 0 ok djm

OpenBSD-Commit-ID: 28d0028769d03e665688c61bb5fd943e18614952

upstream: sshkey_cert_check_authority requires reason to be set;

ok djm

OpenBSD-Commit-ID: 6f7a6f19540ed5749763c2f9530c0897c94aa552

upstream: passphrase depends on kdfname, not ciphername (possible

null-deref); ok djm

OpenBSD-Commit-ID: 0d39668edf5e790b5837df4926ee1141cec5471c

upstream: consistently check packet_timeout_ms against 0; ok djm

OpenBSD-Commit-ID: e8fb8cb2c96c980f075069302534eaf830929928

upstream: initialize cname in case ai_canonname is NULL or too

long; ok djm

OpenBSD-Commit-ID: c27984636fdb1035d1642283664193e91aab6e37

upstream: fix uninitialized pointers for forward_cancel; ok djm

OpenBSD-Commit-ID: 612778e6d87ee865d0ba97d0a335f141cee1aa37

upstream: exit on parse failures in input_service_request; ok djm

OpenBSD-Commit-ID: 6a7e1bfded26051d5aa893c030229b1ee6a0d5d2

upstream: fix null-deref on calloc failure; ok djm

OpenBSD-Commit-ID: a313519579b392076b7831ec022dfdefbec8724a

upstream: exit if ssh_krl_revoke_key_sha256 fails; ok djm

OpenBSD-Commit-ID: 0864ad4fe8bf28ab21fd1df766e0365c11bbc0dc

upstream: pkcs11_register_provider: return < 0 on error; ok djm

OpenBSD-Commit-ID: cfc8321315b787e4d40da4bdb2cbabd4154b0d97

upstream: sshsig: return correct error, fix null-deref; ok djm

OpenBSD-Commit-ID: 1d1af7cd538b8b23e621cf7ab84f11e7a923edcd

upstream: vasnmprintf allocates str and returns -1; ok djm

OpenBSD-Commit-ID: dae4c9e83d88471bf3b3f89e3da7a107b44df11c

upstream: sshpkt_fatal() does not return; ok djm

OpenBSD-Commit-ID: 7dfe847e28bd78208eb227b37f29f4a2a0929929

upstream: no-touch-required certificate option should be an

extension, not a critical option.

OpenBSD-Commit-ID: 626b22c5feb7be8a645e4b9a9bef89893b88600d

upstream: better error message when trying to use a FIDO key

function and SecurityKeyProvider is empty

OpenBSD-Commit-ID: e56602c2ee8c82f835d30e4dc8ee2e4a7896be24

upstream: Drop leading space from line count that was confusing

ssh-keygen's screen mode.

OpenBSD-Commit-ID: 3bcae7a754db3fc5ad3cab63dd46774edb35b8ae

upstream: change explicit_bzero();free() to freezero()

While freezero() returns early if the pointer is NULL the tests for
NULL in callers are left to avoid warnings about passing an
uninitialised size argument across a function boundry.

ok deraadt@ djm@

OpenBSD-Commit-ID: 2660fa334fcc7cd05ec74dd99cb036f9ade6384a

upstream: Have sftp reject "-1" in the same way as ssh(1) and

scp(1) do instead of accepting and silently ignoring it since protocol 1
support has been removed.  Spotted by shivakumar2696 at gmail.com, ok
deraadt@

OpenBSD-Commit-ID: b79f95559a1c993214f4ec9ae3c34caa87e9d5de

upstream: Remove obsolete XXX comment. ok deraadt@

OpenBSD-Commit-ID: bc462cc843947feea26a2e21c750b3a7469ff01b

upstream: Fix typo. Patch from itoama at live.jp via github PR#173.

OpenBSD-Commit-ID: 5cdaafab38bbdea0d07e24777d00bfe6f972568a

Switch %define to %global for redhat/openssh.spec

fix some typos and sentence

upstream: Fix some typos and an incorrect word in docs. Patch from

itoama at live.jp via github PR#172.

OpenBSD-Commit-ID: 166ee8f93a7201fef431b9001725ab8b269d5874

upstream: Update moduli generation script to new ssh-keygen

generation and screening command line flags.

OpenBSD-Commit-ID: 5010ff08f7ad92082e87dde098b20f5c24921a8f

upstream: Import regenerated moduli.

OpenBSD-Commit-ID: 7b7b619c1452a459310b0cf4391c5757c6bdbc0f

Import regenerated moduli.

Fix typos in INSTALL: s/avilable/available/ s/suppports/supports/

upstream: Ensure that the key lifetime provided fits within the

values allowed by the wire format (u32). Prevents integer wraparound of the
timeout values. bz#3119, ok markus@ djm@

OpenBSD-Commit-ID: 8afe6038b5cdfcf63360788f012a7ad81acc46a2

upstream: Detect and prevent simple configuration loops when using

ProxyJump. bz#3057, ok djm@

OpenBSD-Commit-ID: 077d21c564c886c98309d871ed6f8ef267b9f037

upstream: document -F none; with jmc@

OpenBSD-Commit-ID: 0eb93b75473d2267aae9200e02588e57778c84f2

Remove unused variable warning.

Constify aix_krb5_get_principal_name.

Prevents warning about discarding type qualifiers on AIX.

Check if TILDE is already defined and undef.

Prevents redefinition warning on AIX.

Prevent unused variable warning.

Check if getpeereid is actually declared.

Check in sys/socket.h (AIX) and unistd.h (FreeBSD, DragonFLy and OS X).
Prevents undeclared function warning on at least some versions of AIX.

upstream: openssh-8.2

OpenBSD-Commit-ID: 0a1340ff65fad0d84b997ac58dd1b393dec7c19b

crank version numbers

Minor documentation update:

 - remove duplication of dependency information (it's all in INSTALL).
 - SSHFP is now an RFC.

Check if UINT32_MAX is defined before redefining.