upstream: the messaging layer between sshd-session and sshd-auth had a

maximum message size of 256KB. Some people apparently have configurations
larger than this and would hit this limit.

Worse, there was no good logging that could help diagnose what was
going wrong.

So this bumps the maximum message size to 4MB and implements an early
check (usable via the sshd -t test mode) that will report it to the
user where it is hopefully more visible.

bz3808, reported by Dmitry Belyavskiy, ok dtucker@

OpenBSD-Commit-ID: 69c303fb68cbd1a4735936835d67a71e7b57f63b

upstream: mux: fix incorrect return value check in local forward

cancellation

channel_cancel_lport_listener() returns 1 on success and 0 on failure.
The previous code incorrectly checked for `== -1`, a value the function
never returns, so failure was not detected and the "port not found"
error message was never shown when cancelling dynamic or local port
forwards.

From: Boris Tonofa <b.tonofa@ideco.ru>

OpenBSD-Commit-ID: 3e9d2252a4d0bd318d4f25e2b518afb44acea170

wrap some autoconf macros in AC_CACHE_CHECK

This allows skipping/overriding the OSSH_CHECK_CFLAG_COMPILE and
OSSH_CHECK_CFLAG_LINK macros used to discover supported compiler
or linker flags. E.g.

  $ ./configure ossh_cv_cflag__fzero_call_used_regs_used=no
  [...]
  checking if cc supports compile flag -ftrapv and linking succeeds... yes
  checking if cc supports compile flag -fzero-call-used-regs=used and linking succeeds... (cached) no
  checking if cc supports compile flag -ftrivial-auto-var-init=zero... yes

Patch from Colin Watson, ok dtucker@

upstream: Add shebang path to askpass script. Required for exec on

some platforms (musl, probably others).

OpenBSD-Regress-ID: 35cdeed12ae701afcb812f800c04d817325cd22a

upstream: Check dropbear server version for required features.

Dropbear added the '-D' flag in version 2025.87.  We need that for the
dropbear-server test, so skip on older versions.

OpenBSD-Regress-ID: 9db0b84edd54d3c00ab17db1dc6d62af4644c550

Encrypt temporary password we're setting.

Now that we want to actually use the random password for tests, we need
to correctly encrypt it, instead of just setting it to a random string
that's not the "locked" value.

Fix env again.

Move env again.

Move env to where it (hopefully) belongs.

Enable password tests on Github ephemeral VMs.

upstream: Add simple regression test for dropbear as a server.

OpenBSD-Regress-ID: 7abe1f6607d0cd49839918aade8f135d2462d389

upstream: Add simple test for password auth. Requires some setup

so does not run by default.

OpenBSD-Regress-ID: d5ded47a266b031fc91f99882f07161ab6d1bb70

upstream: add RCS ID

OpenBSD-Regress-ID: 6e30094e3bf0a1c65efb75c67a87093304a3e619

upstream: make "Match !final" not trigger a 2nd pass ssh_config

parsing pass (unless hostname canonicalisation or a separate "Match final"
does). bz3843

ok dtucker@

OpenBSD-Commit-ID: ce82b6034828888f0f3f1c812e08f5e87400d802

upstream: better debug diagnostics when loading keys. Will now list

key fingerprint and algorithm (not just algorithm number) as well as making
it explicit which keys didn't load.

OpenBSD-Commit-ID: ee3e77a0271ab502e653922c6d161b1e091f8fee

upstream: whitespace

OpenBSD-Commit-ID: 6e96814bcf70d0edbb0749ec61cc4fd8707f286d

upstream: fix leak on error path; Coverity CID 481976

OpenBSD-Commit-ID: 963dba2c804e2fd8efea2256092899874d0dbc7b

Update obsd tests to use current images.

add sshd-auth to RPM spec files

upstream: Limit each moduli size to a max of 100 entries.

OpenBSD-Commit-ID: 747219d54565030ff7c45298b9f5e971801f6cb2

upstream: Now that ssh-keygen defaults to the maximum memory for

moduli generation we no longer need to run it twice to get enough.  Use mkdir
-p instead of a conditional, which allows "make -jN" to work without error.

OpenBSD-Commit-ID: c2eb57285424f819f9520fa33e0d6d3c4a361a5e

upstream: Fix overflow check in sshbuf_dup_string. It's already

constrained by SSHBUF_SIZE_MAX, but still worth fixing the check.  Patch from
afonot via github PR#573, with & ok djm@

OpenBSD-Commit-ID: 438888498e66472fc6a48133196d6538d27bff18

upstream: Plug mem leak. Patch from afonot via github PR#574, ok djm@

OpenBSD-Commit-ID: 65619f14ef206028ce39bc31f704b832a0609688

upstream: Save return value from sshbuf_len instead of calling it

multiple times. Fixes Coverity CID 470521.

OpenBSD-Regress-ID: 356b8b43c8a232deaf445c1ff7526577b177a8e9

upstream: Plug leak. Coverity CID 405058.

OpenBSD-Regress-ID: 7fb2fce68d2cb063cdb94d5d66f84fa3a2902792

upstream: Remove dead code flagged by Coverity CID 307783. ok djm@

OpenBSD-Regress-ID: e579f5ec2fd2eb2fe2bad654d16f2ba655a3e035

upstream: Set user, host and path to NULL immediately before calling

parse_user_host_path in tests.  This ensures that we don't accidentally use
the previous value if the function under test doesn't set them Also fixes
Coverity CIDs 405056 405065 405066.

OpenBSD-Regress-ID: 43678ff59001712f32214fe303b1c21c163c2960

upstream: Plug mem leak on error path here too.

Coverity CID 307781.

OpenBSD-Regress-ID: 18e053d9b661fbb4227d3db03172077c1216bb2e

upstream: Plug mem leak on error path.

Coverity CID 307776.

OpenBSD-Regress-ID: c44246690973e1b8643e51079a2faa7ace26490c

upstream: Remove dead code ternary. We always report at least

KB/s, so B/s is never used.  Coverity CID 291809, ok djm@

OpenBSD-Commit-ID: a67c5bcc9e19c8965bfeace0e337b13660efa058

upstream: Improve termination condition of while loop to compare

size_t's.  Assuming read() does what it's supposed to this shouldn't matter,
but should be more robust.  Flagged by Coverity CID 470514, ok djm@

OpenBSD-Commit-ID: d7b5ad60feb797b3464964b9ea67fd78fb9d6cc6

Replace Windows 2019 runners with 2025 ones.

The windows-2019 runners are being decomissioned.

Disable _FORTIFY_SOURCE during snprintf test.

Prevents mistakenly detecting snprintf as broken on FreeBSD 15 with
_FORTIFY_SOURCE enabled.  bz#3809, patch from jlduran at gmail.com

upstream: Fix x11_channel_used_recently() to return true when channel

has been used within the last second, instead of more than a second ago.
Should fix ~5s delay on X client startup when ObscureKeystrokeTiming is
enabled. bz#3820, ok (& sigh) djm@

OpenBSD-Commit-ID: b741011e81fb3e3d42711d9bd3ed8a959924dee4

upstream: When there's more than one x11 channel in use, return

lastused of most recently used x11 channel instead of the last one found. ok
djm@

OpenBSD-Commit-ID: 94a72bf988d40a5bae2e38608f4e117f712569fe

upstream: replace xmalloc+memset(0) with xcalloc(); from AZero13 via

GHPR417

OpenBSD-Commit-ID: 921079436a4900325d22bd3b6a90c8d0d54f62f8

upstream: fix punctuation around host key fingerprints to make them

easier to copy and paste.

Patch from Till Maas via GHPR556; ok dtucker@

OpenBSD-Commit-ID: c0100182a30b6925c8cdb2225b18140264594b7b

upstream: Replace strncmp + byte count with strprefix in Penalty

config parsing. ok kn@, djm@

OpenBSD-Commit-ID: 34a41bb1b9ba37fb6c7eb29a7ea909547bf02a5a

upstream: Make the display number check relative to

X11DisplayOffset.

This will allows people to use X11DisplayOffset to configure much higher
port ranges if they really want, while not changing the default behaviour.
Patch from Roman Gubarev via github PR#559, ok djm@

OpenBSD-Commit-ID: e0926af5dc0c11e364452b624c3ad0cda88550b5

Remove progressmeter.o from libssh.a.

It's now explicitly included by the binaries that need it (scp & sftp).
bz#3810, patch from jlduran at gmail.com

upstream: Null out keys between test runs.

BENCH_START and BENCH_FINISH are actually a while() loop in disguise,
so if sshkey_generate does not reset the key pointer on failure the test
may incorrectly pass.  It also confuses Coverity (CID 551234).

OpenBSD-Regress-ID: bf4d32079fc6df6dce1f26c2025f4ed492f13936

upstream: add some verbosity

OpenBSD-Regress-ID: 11c86cda4435b5f9ab6172c4742b95899666c977

upstream: use start_ssh_agent() to ensure we get logging

add some verbosity

OpenBSD-Regress-ID: a89bf64696b9fb1b91be318e6b8940c9ab21c616

upstream: add a start_ssh_agent() function that sets up an agent

with logging

OpenBSD-Regress-ID: 7f9f30f9c64acbd4b418a5e1a19140cc988071a8

upstream: Plug leak of startup_pollfd in debug and child paths.

Coverity CID 405024, ok djm@

OpenBSD-Commit-ID: db46047229253e9c4470c8bbf5f82706ac021377

ssh-keygen changes were fixup'ed into single commit.

auth-pam: Check the user didn't change during PAM transaction

PAM modules can change the user during their execution, in such case ssh
would still use the user that has been provided giving potentially
access to another user with the credentials of another one.

So prevent this to happen, by ensuring that the final PAM user is
matching the one that initiated the transaction.

upstream: Remove ssh-keygen's moduli screen -Omemory option.

This vaguely made sense 20 years ago, but these days you'd be hard
pressed to *find* a machine small enough to not support the maximum
(127MB), and no one is screening moduli on such machines anyway,
so just use the max.  This also fixes Coverity CID 470522 by deleting
code in question.  "kill it with fire" djm@.

OpenBSD-Commit-ID: 39036aa406a99f0a91923aa3a96afff1205558e6

upstream: Fix compile error on 32bit platforms.

Spotted by & ok tb@

OpenBSD-Commit-ID: cbcf518247886f3c7518fc54cb3bd911ffc69db7

upstream: Use pointer from strprefix in error message,

missed in previous.

OpenBSD-Commit-ID: d2cdec6cf0fcd4b0ee25e4e3fad8bc8cf0ee657d

upstream: Replace strncmp and strncasecmp with hand-counting bytes

with strprefix. nits lucas@, ok lucas@ djm@

OpenBSD-Commit-ID: f0888807f151ea2bdaf6fed36303ae81f259d1d4

upstream: Include stdint.h for UINT32_MAX.

OpenBSD-Commit-ID: edc29ed67e8bd03bac729d9b4849066d1d3a8cb9

upstream: Ensure args to nh_update() fit within uint32, which it

should always anyway. Placates Coverity CID 470520.  While there, fix the
upstream URL.  ok djm@

OpenBSD-Commit-ID: 2478e89fde089a49fa02f9faf6287d35959c9f92

upstream: Don't leak the args list. Coverity CIDs 481569 & 481570,

ok job@ tb@.

OpenBSD-Commit-ID: becabcd00513d13d1435b68b7ccffa7151b72393

upstream: Explictly set LC_ALL=C on each sort invocation.

Remove it from sshd_config (where it could be overridden by shell startup
scripts, eg on macos-15) causing random test failures.  with & ok djm@

OpenBSD-Regress-ID: ad0a6678964784096e9a9e6d15ead36beed92f18

Allow setting LTESTS in repo variables.

Rename debugging variable RUN_ONLY_TEST.

to RUN_ONLY_TARGET_CONFIG to make it more obvious what it matches.

chown regress logs before uploading.

upstream: Import regenerated moduli.

OpenBSD-Commit-ID: 07e29dc891e29b31e03e2e5493658b4a9ac19431

upstream: use "const char * const" for malloc_options here also

OpenBSD-Commit-ID: 869715b9c7e1dd5b85efd07814e7e53f0286eea2

upstream: Adjust debug message to prevent (unsigned) integer overflow.

Fixes Coverity CID 481110, ok djm@

OpenBSD-Commit-ID: 26178bf3b812707fb498ea85d076cadd1f2eb686

upstream: Fix OpenBSD RCS ID typos. from Andrius V

OpenBSD-Regress-ID: 5c03a2ef5323969fc4978f2eec4f1a25c48c572a

Remove debug change accidentally commited.

Fixes Coverity CID 481160.

Collect all of regress dir on failure.

This may allow us to sort through its entrails and determine the cause
of some types of failures.

minimal shims for fstatat(2)/unlinkat(2) in agent

Add some very minimal and task-specific replacements for
fstatat(2) and unlinkat(2) in the ssh-agent socket cleanup
loop, for platforms that lack these functions. ok dtucker@

upstream: Output the current name for PermitRootLogin's

"prohibit-password" in sshd -T instead of its deprecated alias
"without-password".  bz#3788, patch from cjwatson at debian.org.

OpenBSD-Commit-ID: 2d5df18d5ad33a9b6c7547ec78a8e6ea13813df9

upstream: Copy arg to be passed to dirname().

POSIX allows dirname() to modify its args and return a pointer into it,
so this prevents an overlapping strlcpy.  bz#3819, patch from cjwatson
at debian.org

OpenBSD-Commit-ID: c32e496e6a1618aba31c8b7a9d4e1376c5ea6aa1

upstream: Add $OpenBSD$ marker for easier syncing.

OpenBSD-Commit-ID: 27ff3e1e2e6610d9981ebe43ae9b783236800035

upstream: Correct FILES section to mention new default path to

agent sockets. Spotted by / ok jmc@

OpenBSD-Commit-ID: 91d736d78d71a4276c9cbb075b1462bbc3df55a6

Fix nc install some more.

Fix cvs up of nc.

Install nc during upstream test.

This ensures that the installed nc matches the expectations of the
regress tests.

Remove 9.7 branch from CI status page.

It's been obsolete long enough that github no longer reports its
status.

pull a small netcat SOCKS4A fix from upstream

upstream: test SOCKS4A; ok tb

OpenBSD-Regress-ID: d880b75280295cd581a86e39bb0996d347f122d2

upstream: remove log tarballing "it seemed like a good idea at the

time" - dtucker@

ensure that log files have correct perms when running under sudo/doas

ok dtucker@

OpenBSD-Regress-ID: 20588c14b05de9519f85d638b374b66ae0678c89

upstream: use logit_f("...") instead of logit("func: ...")

OpenBSD-Commit-ID: c8d49eb39a9abff3cbcaeaf7df9d48468a5a0695

upstream: function to make a sshbuf from a hex string; useful in

tests

also constify some arguments

OpenBSD-Commit-ID: 00f9c25b256be0efd73f2d8268ff041bc45ffb2c

merge netcat SOCKS4A support from OpenBSD

Not a full sync of this file as we have diverged substantially
from upstream (it has libtls support, etc.)

Include OpenSSL compat shim where needed.

Run all tests on Cygwin again.

... now that we've fixed ci-setup on Cygwin.

Use USERNAME rather than LOGNAME on Cygwin.

LOGNAME is specified by POSIX, but Windows (or at least, github's
Windows images) don't set it.

Add debug output when setting up CI environment.

Include openssl compat shims in test.

Fixes tests on platforms using older LibreSSL releases prior to 3.4.

Add compat shims for EC_POINT affine_coordinates

LibreSSL <3.4 does not have EC_POINT_[gs]et_affine_coordinates
but does have the now-deprecated _GFp variantes.  We still support
LibreSSL back as far as 3.2.x so add a compat shim.

upstream: Use EC_POINT_[sg]et_affine_coordinates()

It is available in all supported OpenSSL flavors/versions and the _GFp
variants will be removed from LibreSSL.

ok hshoexer jsing

OpenBSD-Regress-ID: 66cf1561e7b6c49002978f2d6720956f33a882f0

upstream: Use EC_POINT_[sg]et_affine_coordinates()

It is available in all supported OpenSSL flavors/versions and the _GFp
variants will be removed from LibreSSL.

ok hshoexer jsing

OpenBSD-Commit-ID: ecedca0e1ffa80e0c9ef7c787bc6a972882c596b

upstream: make the progress-meter code safe against being called

when not initialised; spotted by tb@ feedback/ok tb@ deraadt@

OpenBSD-Commit-ID: a9fda1ee08a24c62e0981ff6d15ca93b63467038

upstream: convert a last quad_t to int64_t. ok deraadt djm

OpenBSD-Commit-ID: 1c9e01ba1a9ccf442a9cdf10f222077f66885f1f

Set runner pasword to random string.

The most recent version of the Github ubuntu-latest image sets the
password field to "!" which sshd considers to be a locked account,
breaking most of the tests.

Debug log for why an account is considered locked.

Move debug log output into separate workflow step.

Should reduce the need to scroll back to find out which test actually
failed.

Skip sftp-perm on Cygwin too.

Remove CYGWIN binmode as it's now obsolete.

Also skip sftp-cmds test on Cygwin.

Fails at the hardlink step.

Tell Cygwin to use native symlinks.

Skip keygen-knownhost test on Cygwin.

It fails but at this time it's not clear why.

Pass Cygwin setup location to CI setup.

(instead of hard coding it, wrongly).

Add RUN_ONLY_TEST to limit which tests are run.

For testing, you can set the repo variable RUN_ONLY_TEST in your repo
(Repo -> Settings -> Security -> Actions -> Variables) to run only that test.

Move misc-agent.o to LIBSSH_OBJS.

It's needed by the fuzzer.