Merge branch 'maint-0.3.5' into maint-0.4.4

"ours" to avoid version bump.

Bump to 0.3.5.15-dev

Merge branch 'maint-0.3.5' into maint-0.4.4

Fix TROVE-2021-006: Out-of-bounds read on v3 desc parsing

Resolve remaining merge conflicts in relay.c

(My bad!)

Merge branch 'maint-0.3.5' into maint-0.4.4

Conflicts resolved:
src/core/or/relay.c

TROVE-2021-003: Check layer_hint before half-closed end and resolve cells

This issue was reported by Jann Horn part of Google's Project Zero.

Jann's one-sentence summary: entry/middle relays can spoof RELAY_END cells on
half-closed streams, which can lead to stream confusion between OP and
exit.

Fixes #40389

Merge branch 'maint-0.3.5' into maint-0.4.4

Merge branch 'bug40391_035' into maint-0.3.5

Merge branch 'maint-0.3.5' into maint-0.4.4

Merge branch 'bug40390_035_squashed' into maint-0.3.5

Assert on _all_ failures from RAND_bytes().

Previously, we would detect errors from a missing RNG
implementation, but not failures from the RNG code itself.

Fortunately, it appears those failures do not happen in practice
when Tor is using OpenSSL's default RNG implementation.  Fixes bug
40390; bugfix on 0.2.8.1-alpha. This issue is also tracked as
TROVE-2021-004. Reported by Jann Horn at Google's Project Zero.

Merge branch 'maint-0.3.5' into maint-0.4.4

Update geoip files to match ipfire location db, 2021/06/10.

Bump to 0.4.4.9

Merge branch 'maint-0.3.5' into maint-0.4.4

Bump to 0.3.5.15.

Merge branch 'maint-0.3.5' into maint-0.4.4

Remove the function `tor_tls_assert_renegotiation_unblocked`.

It was used nowhere outside its own unit tests, and it was causing
compilation issues with recent OpenSSL 3.0.0 alphas.

Closes ticket 40399.

Use a more secure hash function for the circuitmux hashtable.

Fixes bug 40931; bugfix on 0.2.4.4-alpha. Also tracked as
TROVE-2021-005.

This issue was reported by Jann Horn from Google's Project Zero.

Merge branch 'maint-0.3.5' into maint-0.4.4

Reindent a few lines to fix a GCC warning.

As of GCC 11.1.1, the compiler warns us about code like this:

     if (a)
         b;
         c;

and that's a good thing: we wouldn't want to "goto fail".  But we
had an instance if this in circuituse.c, which was making our
compilation sad.

Fixes bug 40380; bugfix on 0.3.0.1-alpha.

Merge branch 'maint-0.3.5' into maint-0.4.4

Update geoip files to match ipfire location db, 2021/05/07.

Merge branch 'maint-0.3.5' into maint-0.4.4

Merge remote-tracking branch 'tor-gitlab/mr/363' into maint-0.3.5

Merge branch 'maint-0.3.5' into maint-0.4.4

fallbackdir: Remove two unspec lines

Signed-off-by: David Goulet <dgoulet@torproject.org>

Fix test naming, and fix tests on windows.

This is a bugfix against my fix for #40133, which has not yet
appeared in 0.3.5.

Merge branch 'maint-0.3.5' into maint-0.4.4

fallbackdir: Renegerate list with 200 relays

Signed-off-by: David Goulet <dgoulet@torproject.org>

Merge branch 'maint-0.3.5' into maint-0.4.4

Update geoip files to match ipfire location db, 2021/04/13.

channel: Fix use after free in channel_do_open_actions()

Fortunately, our tor_free() is setting the variable to NULL after so we were
in a situation where NULL was always used instead of the transport name.

This first appeared in 894ff2dc8422cb86312c512698acd76476224f87 and results in
basically no bridge with a transport being able to use DoS defenses.

Fixes #40345

Signed-off-by: David Goulet <dgoulet@torproject.org>

Bump version to 0.4.4.8-dev

Merge branch 'maint-0.3.5' into maint-0.4.4

"ours" to avoid version bump.

Bump to 0.3.5.14-dev

Remove check-best-practices from check-local in 0.4.4

Merge branch 'maint-0.3.5' into maint-0.4.4

Merge branch 'bug40316_035_v2' into maint-0.3.5

Fix detection of point to insert signatures on a pending consensus.

We were looking for the first instance of "directory-signature "
when instead the correct behavior is to look for the first instance
of "directory-signature " at the start of a line.

Unfortunately, this can be exploited as to crash authorities while
they're voting.

Fixes #40316; bugfix on 0.2.2.4-alpha.  This is TROVE-2021-002,
also tracked as CVE-2021-28090.

Merge branch 'maint-0.3.5' into maint-0.4.4

Clarify new intended strategy with TROVE-2021-001

We're going to disable this feature in all versions for now.

Merge branch 'maint-0.3.5' into maint-0.4.4

Merge branch 'bug40286_disable_min_035' into maint-0.3.5

Bump to 0.4.4.8

Merge branch 'maint-0.3.5' into maint-0.4.4

"ours" to avoid version bump.

Bump to 0.3.5.14

Merge branch 'maint-0.3.5' into maint-0.4.4

Remove maxmind license; add ipfire location database license (cc by-sa 4.0)

Use the right ticket number.

Merge branch 'maint-0.3.5' into maint-0.4.4

update geoip-2021-03-12 to mention provider transition.

Update geoip files to match ipfire location db, 2021/03/12.

Merge branch 'maint-0.3.5' into maint-0.4.4

Remove mallinfo() from codebase

Now deprecated in libc >= 2.33

Closes #40309

Signed-off-by: David Goulet <dgoulet@torproject.org>

Remove mallinfo() from codebase

Now deprecated in libc >= 2.33

Closes #40309

Signed-off-by: David Goulet <dgoulet@torproject.org>

Disable the dump_desc() function.

It can be called with strings that should have been
length-delimited, but which in fact are not.  This can cause a
CPU-DoS bug or, in a worse case, a crash.

Since this function isn't essential, the best solution for older
Tors is to just turn it off.

Fixes bug 40286; bugfix on 0.2.2.1-alpha when dump_desc() was
introduced.

Delete changes/40241_v2 as it breaks CI.

Unreviewed build fix. Discussed the cnage on IRC with Nick.

Fix CI build: practracker error in connection_edge.c, take two.

This was a bad copy and paste error from the previous commit which
generated a duplicated entry error from practracker.

Unreviewed build fix.

See: tor#40275.

Fix CI build: practracker error in connection_edge.c.

We solve this error by allowing the connection_exit_connect() function
to be 130 lines long.

Unreviewed build fix commit.

See: tor#40275.

Fix Windows build.

While trying to resolve our CI issues, the Windows build broke with an
unused function error:

   src/test/test_switch_id.c:37:1: error: ‘unprivileged_port_range_start’
   defined but not used [-Werror=unused-function]

We solve this by moving the `#if !defined(_WIN32)` test above the
`unprivileged_port_range_start()` function defintion such that it is
included in its body.

This is an unreviewed commit.

See: tor#40275

Merge branch 'tor-gitlab/mr/292_squashed' into maint-0.4.4

Only check for bindable ports if we are unsure if it will fail.

We currently assume that the only way for Tor to listen on ports in the
privileged port range (1 to 1023), on Linux, is if we are granted the
NET_BIND_SERVICE capability. Today on Linux, it's possible to specify
the beginning of the unprivileged port range using a sysctl
configuration option. Docker (and thus the CI service Tor uses) recently
changed this sysctl value to 0, which causes our tests to fail as they
assume that we should NOT be able to bind to a privileged port *without*
the NET_BIND_SERVICE capability.

In this patch, we read the value of the sysctl value via the /proc/sys/
filesystem iff it's present, otherwise we assume the default
unprivileged port range begins at port 1024.

See: tor#40275

Merge branch 'maint-0.4.3' into maint-0.4.4

"ours" to avoid version bump.

Merge branch 'maint-0.3.5' into maint-0.4.3

"ours" to avoid version bump.

bump to 0.4.4.7-dev

bump to 0.4.3.8-dev

Bump to 0.3.5.13-dev.

Merge branch 'maint-0.4.3' into maint-0.4.4

Merge branch 'maint-0.3.5' into maint-0.4.3

Merge branch 'ticket40269_035_01' into maint-0.3.5

Remove unused addr_port_set code

Signed-off-by: David Goulet <dgoulet@torproject.org>

Merge branch 'maint-0.4.3' into maint-0.4.4

Merge branch 'maint-0.3.5' into maint-0.4.3

Merge branch 'ticket40270_035_01' into maint-0.3.5

Merge branch 'maint-0.4.3' into maint-0.4.4

Merge branch 'maint-0.3.5' into maint-0.4.3

node: Move reentry set to use a digestmap_t

Any lookup now will be certain and not probabilistic as the bloomfilter.

Closes #40269

Signed-off-by: David Goulet <dgoulet@torproject.org>

relay: Send back CONNECTION_REFUSED on reentry

The TORPROTOCOL reason causes the client to close the circuit which is not
what we want because other valid streams might be on it.

Instead, CONNECTION_REFUSED will leave it open but will not allow more streams
to be attached to it. The client then open a new circuit to the destination.

Closes #40270

Signed-off-by: David Goulet <dgoulet@torproject.org>

Merge branch 'maint-0.4.3' into maint-0.4.4

Merge branch 'maint-0.3.5' into maint-0.4.3

relay: Double the size of the relay reentry set

This is to minimize false positive and thus deny reentry to Exit connections
that were in reality not re-entering. Helps with overall UX.

Signed-off-by: David Goulet <dgoulet@torproject.org>

relay: Follow consensus parameter for network reentry

Obey the "allow-network-reentry" consensus parameters in order to decide to
allow it or not at the Exit.

Closes #40268

Signed-off-by: David Goulet <dgoulet@torproject.org>

Merge branch 'tor-gitlab/mr/285' into ticket2667_044_01

Merge branch 'tor-gitlab/mr/284' into ticket2667_043_01

test: Add test for exits blocking reentry to the network

Signed-off-by: David Goulet <dgoulet@torproject.org>

exit: Deny re-entry into the network

Exit relays now reject exit attempts to known relay addresses + ORPort and
also to authorities on the ORPort and DirPort.

Closes #2667

Signed-off-by: David Goulet <dgoulet@torproject.org>

relay: Add bloomfiter of relay address + {OR|Dir}Port

In order to deny re-entry in the network, we now keep a bloomfilter of relay
ORPort + address and authorities ORPort + address and DirPort + address
combinations.

So when an Exit stream is handled, we deny anything connecting back into the
network on the ORPorts for relays and on the ORPort+DirPort for the
authorities.

Related to #2667

Signed-off-by: David Goulet <dgoulet@torproject.org>

Merge branch 'maint-0.4.3' into maint-0.4.4

Merge branch 'maint-0.3.5' into maint-0.4.3

Merge branch 'tor-gitlab/mr/50' into maint-0.3.5

Merge branch 'maint-0.4.3' into maint-0.4.4

Merge branch 'maint-0.3.5' into maint-0.4.3

Merge branch 'tor-gitlab/mr/239' into maint-0.3.5

Merge branch 'maint-0.4.3' into maint-0.4.4

Merge branch 'maint-0.3.5' into maint-0.4.3

Merge branch 'tor-gitlab/mr/243' into maint-0.3.5

Merge branch 'maint-0.4.3' into maint-0.4.4

Merge branch 'maint-0.3.5' into maint-0.4.3