bump to 0.2.2.39

fold in 0.2.2.39 changelog items

Merge branch 'maint-0.2.2' into release-0.2.2

Merge branch 'timegm_assert_v3_squashed' into maint-0.2.2

Fix assertion failure in tor_timegm.

Fixes bug 6811.

Merge branch 'bug6690_022' into maint-0.2.2

Do not assert when comparing a null address/port against a policy

This can create a remote crash opportunity for/against directory
authorities.

Remove #6480 fix from 0.2.2.38 changelog - it was not included

give 0.2.2.38 a release blurb

bump to 0.2.2.38, declare a release date

bump to 0.2.2.37-dev

fold in changes entries so far

Merge remote-tracking branch 'origin/maint-0.2.2' into release-0.2.2

Try to clarify impact of bug 6537

I don't personally agree that this is likely to be easy to exploit,
and some initial experimention I've done suggests that cache-miss
times are just plain too fast to get useful info out of when they're
mixed up with the rest of Tor's timing noise.  Nevertheless, I'm
leaving Robert's initial changelog entry in the git history so that he
can be the voice of reason if I'm wrong. :)

Mitigate a side-channel leak of which relays Tor chooses for a circuit

Tor's and OpenSSL's current design guarantee that there are other leaks,
but this one is likely to be more easily exploitable, and is easy to fix.

Clarify security impact of bug 6530

Avoid possible segfault when handling networkstatus vote with bad flavor

Fix for 6530; fix on 0.2.2.6-alpha.

Revert to the May 2012 geoip db

The June 2012 db marks too many relays as country "A1".
Addresses bug 6334.

Update to the June 2012 GeoIP database.

Manually removed range 0.116.0.0 to 0.119.255.255 which Maxmind says is
assigned to AT.  This is very likely a bug in their database, because
0.0.0.0/8 is a reserved range.

remove changes for bug6094, since it wasn't released here

Merge branch 'maint-0.2.2' into release-0.2.2

rransom points out vasprint is probably not the function

Send a CRLF at the end of a STATUS_* event, not in the middle of it

Fixes bug 6094; bugfix on commit 3a9351b57e528b1d0bd2e72bcf78db7c91b2ff8f.

add release notes too

bump to 0.2.2.37

schedule tomorrow as the 0.2.2.37 release day

Merge branch 'maint-0.2.2' into release-0.2.2

Merge remote-tracking branch 'public/bug6007_strict_squashed' into maint-0.2.2

Merge remote-tracking branch 'public/bug6033' into maint-0.2.2

Kill non-open OR connections with any data on their inbufs.

This fixes a DoS issue where a client could send so much data in 5
minutes that they exhausted the server's RAM.  Fix for bug 5934 and
6007.  Bugfix on 0.2.0.20-rc, which enabled the v2 handshake.

Work around a bug in OpenSSL 1.0.1's TLS 1.1 and TLS 1.2 support

It appears that when OpenSSL negotiates a 1.1 or 1.2 connection, and it
decides to renegotiate, the client will send a record with version "1.0"
rather than with the current TLS version.  This would cause the
connection to fail whenever both sides had OpenSSL 1.0.1, and the v2 Tor
handshake was in use.

As a workaround, disable TLS 1.1 and TLS 1.2.  When a later version of
OpenSSL is released, we can make this conditional on running a fixed
version of OpenSSL.

Alternatively, we could disable TLS 1.1 and TLS 1.2 only on the client
side.  But doing it this way for now means that we not only fix TLS with
patched clients; we also fix TLS when the server has this patch and the
client does not.  That could be important to keep the network running
well.

Fixes bug 6033.

add changes file for bug 5283

I called it a bugfix on 0.2.0.10-alpha, since git commit e5885deab is
where we introduced anonymized begin_dir connections.

Make all begindir or one-hop circuits internal

This solves bug 5283, where client traffic could get sent over the
same circuit as an anonymized connection to a directory, even if
that circuit used an exit node unsuitable for clients.  By marking
the directory connection as needs_internal, we ensure that the
(non-internal!) client-traffic connection won't be sent over the
same circuit.

Fix more clang format-nonliteral warnings (bug 5969)

Add __attribute__(format)s for our varargs printf/scanf wrappers

It turns out that if you set the third argument of
__attribute__(format) to 0, GCC and Clang will check the format
argument without expecting to find variadic arguments.  This is the
correct behavior for vsnprintf, vasprintf, and vscanf.

I'm hoping this will fix bug 5969 (a clang warning) by telling clang that
the format argument to tor_vasprintf is indeed a format string.

touch-up the changelogs

fold in further changes files

Merge branch 'maint-0.2.2' into release-0.2.2

Make the succeeding parse_http_time tests more obviously right

(When the correct answer is given in terms of seconds since the
epoch, it's hard to be sure that it really is the right answer
just by reading the code.)

Merge branch 'bug5346_squashed' into maint-0.2.2

Fix month check in parse_http_time, add test

Remove more dubiosity in struct tm handling. related to bug5346

changes file for branch bug5346

Reject an additional type of bad date in parse_http_time

Fix parse_http_time and add tests

* It seems parse_http_time wasn't parsing correctly any date with commas (RFCs
  1123 and 850). Fix that.
* It seems parse_http_time was reporting the wrong month (they start at 0, not
  1). Fix that.
* Add some tests for parse_http_time, covering all three formats.

Correct the bulletproofing of routerlist_insert()

The original code updated some variables, but forgot to remove a
replaced old-routerdesc from rl->old_routers.

Related to bug 1776.

Clarify MaxCircuitDirtiness behavior with hidden services. Bug 5259.

Merge branch 'bug5796_022_squashed' into maint-0.2.2

Fix a crash bug on SETCIRCUITPURPOSE.

Merge remote-tracking branch 'karsten/geoip-may2012' into maint-0.2.2

Merge branch 'maint-0.2.2' into release-0.2.2

fix over-wide line from f661747370

fold in latest changes

Merge branch 'maint-0.2.2' into release-0.2.2

Merge branch 'bug5786_range_022' into maint-0.2.2

Add changes/bug5760

Add missing CRLFs to AUTHCHALLENGE failure replies
Fix #5760

Handle out-of-range values in tor_parse_* integer functions

The underlying strtoX functions handle overflow by saturating and
setting errno to ERANGE.  If the min/max arguments to the
tor_parse_* functions are equal to the minimum/maximum of the
underlying type, then with the old approach, we wouldn't treat a
too-large value as genuinely broken.

Found this while looking at bug 5786; bugfix on 19da1f36 (in Tor
0.0.9), which introduced these functions.

Update to the May 2012 GeoIP database.

bump to 0.2.2.36

add a blurb for 0.2.2.36; add it to releasenotes too

forward-port the 0.2.1.32 changelog

fold in 0.2.2 changes entries

Merge branch 'maint-0.2.2' into release-0.2.2

Fix a log-uninitialized-buffer bug.

Fix for 5647; bugfix on 0.2.1.5-alpha.

rend_service_introduce(): do protocol violation check before anything else.

(Cherry-picked from 6ba13e4 by nickm)

Merge branch 'maint-0.2.2' into release-0.2.2

Merge branch 'bug5593' into maint-0.2.2

Update to the April 2012 GeoIP database.

Include a Host: header with any HTTP/1.1 proxy request

Bugfix on 0.2.2.1-alpha, which added the orginal HTTP proxy
authentication code.  Fix for bug 5593.

synchronize changelog stanzas with the way master said it

Merge branch 'maint-0.2.2' into release-0.2.2

Wrap long line; strlen("ides")<strlen("turtles").

ides has become turtles, and gotten a new IP address

As per ticket 5569

put a _ before or_options_t elements that aren't configurable

it's fine with me if we change the current convention, but we should
actually decide to change it if we want to.

BridgePassword was never for debugging

It is for the not-yet-implemented bridge community design.

Do not use strcmp() to compare an http authenticator to its expected value

This fixes a side-channel attack on the (fortunately unused!)
BridgePassword option for bridge authorities.  Fix for bug 5543;
bugfix on 0.2.0.14-alpha.

Safe cookie authentication gets a changes file

Merge remote-tracking branch 'rransom-tor/safecookie-022-v3' into maint-0.2.2

Merge commit 'a5704b1c624c9a808f52f3a125339f00e2b9a378' into maint-0.2.2

Use a given name in the bug5090 message, at its holder's request.

Never choose a bridge as an exit. Bug 5342.

Revise "sufficient exit nodes" check to work with restrictive ExitNodes

If you set ExitNodes so that only 1 exit node is accepted, the
previous patch would have made you unable to build circuits.

Merge branch 'bug5343' into maint-0.2.2

Oops; credit bug5090 patch to flupzor. estebanm only found the bug.

Correctly handle broken escape sequences in torrc values

Previously, malformatted torrc values could crash us.

Patch by Esteban Manchado.  Fixes bug 5090; fix on 0.2.0.16-alpha.

Require a threshold of exit nodes before building circuits

This mitigates an attack proposed by wanoskarnet, in which all of a
client's bridges collude to restrict the exit nodes that the client
knows about.  Fixes bug 5343.

Fix compile warnings in openbsd malloc

Merge remote-tracking branch 'karsten/geoip-march2012' into maint-0.2.2

Update to the March 2012 GeoIP database.

Merge branch 'maint-0.2.2' into release-0.2.2

new ip address for maatuska

Implement 'safe cookie authentication'

Add a sha256 hmac function, with tests
(cherry picked from commit fdbb9cdf746bbf0c39c34188baa8872471183ff7)

Properly protect paths to sed, sha1sum, openssl

in Makefile.am, we used it without quoting it, causing build failure if
your openssl/sed/sha1sum happened to live in a directory with a space in
it (very common on windows)

Downgrade "missing a certificate" from notice to info

It was apparently getting mistaken for a problem, even though it was
at notice.

Fixes 5067; fix on 0.2.0.10-alpha.

Use correct CVE number for CVE-2011-4576. Found by fermenthor. bug 5066

Merge branch 'maint-0.2.1' into maint-0.2.2

Revert "add  a "docs" to the manual URI as listed in torrc.sample.in"

This reverts commit 55e8cae81553678ec77ce6b8fb1bf2d5e483e0aa.

The conversation from irc:
> weasel: i had intended to leave torrc.sample.in alone in maint-0.2.2,
since i don't want to make all your stable users have to deal with
a torrc change. but nickm changed it. is it in fact the case that a
change in that file means a change in the deb?
<weasel> it means you'll prompt every single user who ever touched
their torrc
<weasel> and they will be asked if they like your new version better
than what they have right now
<weasel> so it's not great

Instead I changed the website to redirect requests for the tor-manual
URL listed in maint-0.2.2's torrc.sample.in so the link will still work.

Update to the February 2012 GeoIP database.