Merge branch 'maint-0.2.4'

Fix an uninitialized-read when parsing v3 introduction requests.

Fortunately, later checks mean that uninitialized data can't get sent
to the network by this bug.  Unfortunately, reading uninitialized heap
*can* (in some cases, with some allocators) cause a crash if you get
unlucky and go off the end of a page.

Found by asn.  Bugfix on 0.2.4.1-alpha.

Update coverage instructions

forward-port 0.2.4.15-rc changelog

forward-port the reformat of changelog stanza

Use size_t for length in replaycache_add_test_and_elapsed()

For consistency with the rest of buffer lengths in Tor.

See #8960

Fix tor_get_lines_from_handle() for make check-spaces

Unit test for smartlist_ints_eq

(This was the only wholly untested function in containers.c)

Try to make the win32 ersatz_socketpair pass.

Fixed "unused parameter cloexec" warnings on windows

Unit test for tor_{ersatz_,}socketpair.

This catches tor_accept as well.

Split the socketpair replacement code into its own function for testing

Simple unit test for tor_open_socket_with_extensions

Actually use the cloexec argument in the !defined(SOCK_CLOEXEC) case

Prepare patch for ticket 5129 for merging.

- Preserve old eventdns code.
- Add function to close sockets cross-platform, without accounting.
- Add changes/ file.

Merge remote-tracking branch 'origin/maint-0.2.4'

Merge remote-tracking branch 'arma/bug9354' into maint-0.2.4

Fix compilation on Windows

(Bugfix on tests for #9288 fix; bug not in any released Tor)

Merge remote-tracking branch 'origin/maint-0.2.4'

Fix invalid-read when a managed proxy configuration fails.

Merge branch 'bug9288_rebased'

Conflicts:
src/test/test_pt.c

Fix mixed declaration/statement warning

Update pt/configure_proxy until it stops segfaulting

Modifications to transports.c for the unit tests to work.

Both 'managed_proxy_list' and 'unconfigured_proxies_n' are global
src/or/transports.c variables that are not initialized properly when
unit tests are run.

Write unit tests for configure_proxy().

Prepare some mock functions to test #9288.

Fix invalid-read when a managed proxy configuration fails.

NumDirectoryGuards now tracks NumEntryGuards by default

Now a user who changes only NumEntryGuards will get the behavior she
expects. Fixes bug 9354; bugfix on 0.2.4.8-alpha.

Allow {,k,kilo,m,mega,g,giga,t,tera}bit{,s} in torrc

Patch from CharlieB for ticket #9214

Merge remote-tracking branch 'origin/maint-0.2.4'

Merge branch 'bug9337' into maint-0.2.4

Avoid assertion failure on unexepcted address family in DNS reply.

Fixes bug 9337; bugfix on 0.2.4.7-alpha.

Fix bug9309, and n_noncanonical count/continue code

When we moved channel_matches_target_addr_for_extend() into a separate
function, its sense was inverted from what one might expect, and we
didn't have a ! in one place where we should have.

Found by skruffy.

fix typo

Fix bug9309, and n_noncanonical count/continue code

When we moved channel_matches_target_addr_for_extend() into a separate
function, its sense was inverted from what one might expect, and we
didn't have a ! in one place where we should have.

Found by skruffy.

Whoops; check in test_circuitmux.c

Merge branch 'bug9296'

Regression test for destroy cell queue

This exercises the code that crashed and caused #9296.

Initialize destroy_cell_queue.

Likely fix for the crash bug of #9296, which was introduced through a
combination of #7912 and #8586.  Bugfix not in any released Tor.

fix typo

Merge remote-tracking branch 'origin/maint-0.2.4'

Merge remote-tracking branch 'public/bug9295_023' into maint-0.2.4

Fix for bug 9295: Don't crash when running --hash-password.

Fix on 0.2.4.15-rc; I'm doing this branch against 0.2.3, since we're
considering #9122 for an 0.2.3 backport, and if we do, we should merge
this too.

tmp

Start of a unit test for options_validate.

I added this so I could write a unit test for ServerTransportOptions,
but it incidentally exercises the succeed-on-defaults case of
options_validate too.

Merge branch 'simpleq_for_cells_3'

Add a test for n_cells_in_circuit_queues

Unit tests for cell queues.

This removes some INLINE markers from functions that probably didn't
need them.

Use TOR_SIMPLEQ for packed_cell_t

Remove a redundant declaration

Remove a stray debugging echo from configure.ac

Fix a wide line in test_pt.c

Merge branch 'bug8978_rebase_2'

Conflicts:
src/test/test_pt.c

Merge branch 'bug8929_rebase_2'

Improve test coverage of 8929 code

Fix memory leaks in test_config_parse_transport_options_line

Document what "escape" means in tor_escape_str_for_pt_args

Insert the environment variable only if we have options to pass.

Add changes file and enrich the manual page.

Place the options in the environment after processing them properly.

Rename tor_escape_str_for_socks_arg() to something more generic.

Since we are going to be using that function to also escape parameters
passed to transport proxies using environment variables.

Pass characters to be escaped to tor_escape_str_for_socks_arg().

This is in preparation for using tor_escape_str_for_socks_arg() to
escape server-side pluggable transport parameters.

Write unit tests for the ServerTransportOptions parsing function.

Write function that parses ServerTransportOptions torrc lines.

And use it to validate them.

Add a basic unit test for pt_get_extra_info_descriptor_string.

Add a unit test for smethod lines with arguments.

Write transport ARGS to extra-info descriptor.

Extract ARGS from SMETHOD line and attach them to transport.

A python script to combin gcov output with git blame

Merge remote-tracking branch 'origin/maint-0.2.4'

Re-do a cast in order to make old buggy freebsd gcc happy

Fix for #9254.  Bugfix on 0.2.4.14-alpha.

This is not actually a bug in the Tor code.

Merge remote-tracking branch 'asn/bug9265'

Remove an unused variable in test_replaycache_scrub

Make contrib/coverage smarter about check file-existence edge cases

Add more replaycache.c unit tests, bringing coverage to 100% for that file

Eliminate an impossible case in replaycache_scrub_if_needed_internal()

Test deeper in test_pt_parsing().

We used to test parse_{c,s}method_line() without actually testing that
the resulting transport_t was well formed.

Add optional target directory parameter to coverage script and add reset-gcov target to Makefile.am

Appease "make check-spaces"

Use format_hex_number_sigsafe to format syscalls in sandbox.c

This way, we don't have to use snprintf, which is not guaranteed to
be signal-safe.

(Technically speaking, strlen() and strlcpy() are not guaranteed to
be signal-safe by the POSIX standard. But I claim that they are on
every platform that supports libseccomp2, which is what matters
here.)

Lightly refactor and test format_hex_number_sigsafe

Better tests for upper bounds, and for failing cases.

Also, change the function's interface to take a buffer length rather
than a maximum length, and then NUL-terminate: functions that don't
NUL-terminate are trouble waiting to happen.

HEX_ERRNO_SIZE is no longer the correct upper limit for format_hex_number_sigsafe

Expose format_hex_number_..., and rename it to ..._sigsafe().

There are some other places in the code that will want a signal-safe
way to format numbers, so it shouldn't be static to util.c.

Don't build format_helper_exit_status on win32

The only thing that used format_helper_exit_status on win32 was the
unit tests. This caused an error when we tried to leave a static
format_helper_exit_status lying around in a production object file.

The easiest solution is to admit that this way of dealing with process
exit status is Unix-only.

Merge remote-tracking branch 'linus/unused_param'

Merge remote-tracking branch 'linus/binshify'

Merge remote-tracking branch 'public/fancy_test_tricks'

Conflicts:
src/common/include.am

Conflict was from adding testsupport.h near where sandbox.h had
already been added.

Traditional /bin/sh is unhappy about {a,b} globbing.

Avoid compiler warning 'unused param'.

Fixes #9261.

Fix two pre-coffee typos

And a changes file for #9258

Reject relative control socket paths and emit a warning.

Previously we would accept relative paths, but only if they contained a
slash somewhere (not at the end).

Otherwise we would silently not work.  Closes: #9258.  Bugfix on
0.2.3.16-alpha.

Document get_parent_directory more

cosmetic cleanups

put sandbox.h in the tarball, so the tarball builds

Merge remote-tracking branch 'public/gsoc-ctoader-cap-phase1-squashed'

Remove a bogus semicolon spotted by Gisle Vanem

Add a basic seccomp2 syscall filter on Linux

It's controlled by the new Sandbox argument.  Right now, it's rather
coarse-grained, it's Linux-only, and it may break some features.

Add some basic unit tests for the circuit map data structure.

These show off the new mocking code by mocking the circuitmux code
so that we can test the circuit map code in isolation.

Add rudimentary test mocking support.

This is not the most beautiful possible implementation (it requires
decorating mockable functions with ugly macros), but it actually
works, and is portable across multiple compilers and architectures.