vms: config-vms.h is removed, no use trying to distribute it

RELEASE-NOTES: mention the SASL buffer overflow

Curl_sasl_create_digest_md5_message: fix buffer overflow

When negotiating SASL DIGEST-MD5 authentication, the function
Curl_sasl_create_digest_md5_message() uses the data provided from the
server without doing the proper length checks and that data is then
appended to a local fixed-size buffer on the stack.

This vulnerability can be exploited by someone who is in control of a
server that a libcurl based program is accessing with POP3, SMTP or
IMAP. For applications that accept user provided URLs, it is also
thinkable that a malicious user would feed an application with a URL to
a server hosting code targetting this flaw.

Bug: http://curl.haxx.se/docs/adv_20130206.html

FEATURES: Removed erroneous whitespace

Removed whitespace introduced in commit 5f8f20f5e65b that caused
formatting issues when generating the website docs.

setup-vms.h: post VMS patch cleanup - III

- rename post-config-vms.h to setup-vms.h
- move its inclusion into proper location in curl_setup.h

vms_show: post VMS patch cleanup - II

- remove multiple declarations of vms_show and add comments

tool_main.c: post VMS patch cleanup - I

- remove header inclusion already done in curl_setup_once.h

FEATURES: Added SSPI to list of NTLM libraries

FEATURES: Added Secure Transport and qssl to list of SSL libraries

FEATURES: Added email feature set

Added SMTP, SMTPS, POP3, POP3S, IMAP and IMAPS features.

imap.h: Corrected incorrect comment clarification

Corrected comment clarification made in commit 167717b8069a.

COPYING: Updated copyright year to include 2013

RELEASE-NOTES: synced with 25f351424b3538

8 more bug fixes mentioned

VMS: fix and generate the VMS build config

config_h.com is a new file that generates a config.h file based on the
curl_config.h.in file and a quick scan of the configure script.  This is
actually a generic procedure that is shared with other VMS packages.

The existing pre-built config-vms.h had over 100 entries that were not
correct and in some cases conflicted with the build options available in
the build_vms.com.

generate_config_vms_h_curl.com is a helper procedure to the
config_h.com.  It covers the cases that the generic config_h.com is not
able to figure out, and accepts input from the build_vms.com procedure.

build_curlbuild_h.com is a new file to generate the curlbuild.h file
that Curl is now using when it is using a curl_config.h file.

post-config-vms.h is a new file that is needed to provide VMS specific
definitions, and most of them need to be set before the system header
files are included.

The VMS build procedure is fixed:

   1. Fixed to link in the correct HP ssl library.
   2. Fixed to detect if HP Kerberos is installed.
   3. Fixed to detect if HP LDAP is installed.
   4. Fixed to detect if gnv$libzshr is installed.
   5. Simplified the input parameter parsing to not use a loop.
   6. Warn that 64 bit pointer option support is not complete
      in comments.
   7. Default to IEEE floating if platform supports it so
      resulting libcurl will be compatible with other
      open source projects on VMS.
   8. Default to LARGEFILE if platform supports it.
   9. Default to enable SSL, LDAP, Kerberos, libz
      if the libraries are present.
   10. Build with exact case global symbols for libcurl.
   11. Generate linker option file needed.
   12. Compiler list option only commonly needed items.
   13. fulllist option for those who really want it.
   14. Create debug symbol file on Alpha, IA64.

Curl_proxyCONNECT: return once CONNECT is sent

By doing this unconditionally, we infer a simpler and more defined
behavior. This also has the upside that test 1021 no longer fails for me
even if I run with valgrind.

Also fixed some wrong comments.

email: Reworked comments in the endofresp() functions

Tidied up the comments in the endofresp() functions to be more
meaningful prior to release.

schannel: Removed extended error connection setup flag

According KB975858 this flag may cause problems on Windows 7 and
Windows Server 2008 R2 systems. Extended error information is not
currently used by libcurl and therefore not a requirement.

The flag may improve the SSL-connection shutdown in case of an
error. This means it might be a good improvement in the future.

Fixes bug/issue #1187 - thanks for the report

singleipconnect: Update *sockp for all CURLE_OK

The 56b7c87c7 change left a case where a good sockfd was not copied to
*sockp before returning with CURLE_OK

curl_easy_perform: Value stored to 'mcode' is never read

pointed out by clang-analyzer

singleipconnect: remove dead assignment

pointed out by clang-analyzer

CURLMOPT_MAXCONNECTS: restore functionality

When a connection is no longer used, it is kept in the cache. If the
cache is full, the oldest idle connection is closed. If no connection is
idle, the current one is closed instead.

RELEASE-NOTES: Updated following recent changes to the email protocols

Added recent additions and fixes following the changes to imap, pop3
and smtp. Additionally added another contributor that helped to test
the imap sasl changes.

email: Provided extra comments following recent pop3/imap fixes

Provided additional clarification about the logic of the authenticate()
functions following commit 6b6bdc83bd36 and b4270a9af1d0.

winbuild: include version info for .dll .exe

Bug: http://curl.haxx.se/bug/view.cgi?id=1186

FAQ: clarify 5.13 How do I stop an ongoing transfer

Rich Gray provided good feedback and we now clarify that you can in fact
stop a multi transfer at any point you like by removing the easy handle.

cmake: Fix mingw build

cmake: updated OpenSSL build

pop3.c: Updated variable names to use shorter / more readable variant

Tidied up code from commit 6b6bdc83bdUpdated where a few instances of
the pop3c struct variable used the longer conndata struct rather than
matching what other code in pop3_authenticate() used.

updated copyright years.

configure: update the copyright years for the output.

imap: Fixed no known authentication mechanism when fallback is required

Fixed an issue where (lib)curl is compiled without support for a
supported challenge-response based SASL authentication mechanism, such
as CRAM-MD5 or NTLM, the server doesn't support the LOGIN or PLAIN
mechanisms and (lib)curl doesn't fallback to Clear Text authentication.

Note: In order to fallback to Clear Text authentication properly this
fix adds support for the LOGINDISABLED server capability.
imap: Fixed no known authentication mechanism when fallback is required

Fixed an issue where (lib)curl is compiled without support for a
supported challenge-response based SASL authentication mechanism, such
as CRAM-MD5 or NTLM, the server doesn't support the LOGIN or PLAIN
mechanisms and (lib)curl doesn't fallback to Clear Text authentication.

Note: In order to fallback to Clear Text authentication properly this
fix adds support for the LOGINDISABLED server capability.

Related bug: http://curl.haxx.se/mail/lib-2013-02/0004.html
Reported by: Stanislav Ivochkin

pop3: Fixed no known authentication mechanism when fallback is required

Fixed an issue where (lib)curl is compiled without support for a
supported challenge-response based SASL authentication mechanism, such
as CRAM-MD5 or NTLM, the server doesn't support the LOGIN or PLAIN
mechanisms and (lib)curl doesn't fallback to APOP or Clear Text
authentication.

Bug: http://curl.haxx.se/mail/lib-2013-02/0004.html
Reported by: Stanislav Ivochkin

singleipconnect: simplify and clean up

Remove timeout argument that's never used.

Make the actual connection get detected on a single spot to reduce code
duplication.

Store the IPv6 state already when the connection is attempted.

Curl_perfom: removed

Curl_perfom is no longer used anywhere since the always-multi commit
c43127414d89ccb9, and some related functions were used only from within
Curl_perfom.

Updated date.

zz40-xc-ovr.m4: fix 'wc' detection - follow-up 2

- Fix a pair of single quotes to double quotes.

URL: http://curl.haxx.se/mail/lib-2013-01/0355.html
Reported by: Tor Arntsen

zz40-xc-ovr.m4: fix 'wc' detection - follow-up

- Take into account that 'wc' may return leading spaces and/or tabs.

- Set initial IFS to space, tab and newline.

zz40-xc-ovr.m4: fix 'wc' detection

- Take into account that 'wc' may return leading spaces.

- Set internationalization behavior variables.

Tor Arntsen analyzed and reported the issue.

URL: http://curl.haxx.se/mail/lib-2013-01/0351.html

zz40-xc-ovr.m4: check another three basic utilities

Fixed debug.c to work again unchanged.

Added CURLOPT_FOLLOWLOCATION since example.com is now redirected.

darwinssl: Fix bug where packets were sometimes transmitted twice

There was a bug where, if SSLWrite() returned errSSLWouldBlock but did
succeed in transmitting at least something, then we'd incorrectly
resend the packet. Now we never take errSSLWouldBlock as a sign that
nothing was transferred to/from the server.

Bug: http://curl.haxx.se/mail/lib-2013-01/0295.html
Reported by: Bruno de Carvalho

FAQ: "Darwinssl" is AKA "Secure Transport" and supports NTLM

RELEASE-NOTES: only list Nick once

Even though he's a fine dude, once is enough for this time!

zz40-xc-ovr.m4: 1.0 interface stabilization

- Stabilization results in 4 public interface m4 macros:
  XC_CONFIGURE_PREAMBLE
  XC_CONFIGURE_PREAMBLE_VER_MAJOR
  XC_CONFIGURE_PREAMBLE_VER_MINOR
  XC_CHECK_PATH_SEPARATOR
- Avoid one level of internal indirection
- Update comments
- Drop XC_OVR_ZZ40 macro

docs: fix typos in man pages

Reported by: Jiri Jaburek
Bug: https://bugzilla.redhat.com/896544

docs: update the comments about loading CA certs with NSS

Bug: https://bugzilla.redhat.com/696783

Updated dependency libs.

Fixed simple.c to work again unchanged.

Added CURLOPT_FOLLOWLOCATION since example.com is now redirected.

smtp.c: Fixed unnecessary state change if starttls fails

The state machine should only be changed to SMTP_STARTTLS when the
STARTTLS command has been successfully sent to the server.

pop3.c: Fixed unnecessary state change if starttls fails

The state machine should only be changed to POP3_STARTTLS when the
STLS command has been successfully sent to the server.

imap.c: Fixed unnecessary state change if starttls fails

The state machine should only be changed to IMAP_STARTTLS when the
STARTTLS command has been successfully sent to the server.

email: Updated comment regarding ssldone usage

Updated the ssldone comment as multi mode is always used internally now.

zz40-xc-ovr.m4: emit witness message in configure BODY

This avoids witness message in output when running configure --help,
while sending the message to config.log for other configure runs.

smtp.c: Added comments to smtp_endofresp()

Minor code tidy up to add comments similar to those used in the pop3
and imap end of resp functions, in order to assist anyone reading the
code and highlight the similarities between each of these protocols.

zz40-xc-ovr.m4: truly do version conditional overriding

- version conditional overriding
- catch unexpanded XC macros
- fix double words in comments

zz40-xc-ovr.m4: fix variable assignment of subshell output bashism

Tor Arntsen analyzed and reported the issue.

URL: http://curl.haxx.se/mail/lib-2013-01/0306.html

zz40-xc-ovr.m4: reinstate strict AC_REQUIRE macro dependencies

zz40-xc-ovr.m4: avoid double single-quote usage

zz40-xc-ovr.m4: parentheses balancing of 'case' statements

m4 quadrigraph shell comment technique allows proper autoconf
parentheses balancing in shell 'case' statements. The presence
of unbalanced parentheses may otherwise trigger expansion bugs.

smtp.c: Corrected RFC references

The most recent version of the SMTP RFC is RFC5321 and not RFC2821 as
previously documented.

Added RFC1870 and re-ordered list numerically.

smtp.c: Fixed failure detection during TLS upgrade

smtp_state_upgrade_tls() would attempt to incorrectly complete the
upgrade to smtps and start the EHLO command if
Curl_ssl_connect_nonblocking() returned a failure code and if ssldone
was set to TRUE. This would only happen when a non-blocking API hadn't
been provided by the SSL implementation and curlssl_connect() was
called underneath.

pop3.c: Fixed failure detection during TLS upgrade

pop3_state_upgrade_tls() would attempt to incorrectly complete the
upgrade to pop3s and start the CAPA command if
Curl_ssl_connect_nonblocking() returned a failure code and if ssldone
was set to TRUE. This would only happen when a non-blocking API hadn't
been provided by the SSL implementation and curlssl_connect() was
called underneath.

imap.c: Fixed failure detection during TLS upgrade

imap_state_upgrade_tls() would attempt to incorrectly complete the
upgrade to imaps and start the CAPABILITY command if
Curl_ssl_connect_nonblocking() returned a failure code and if ssldone
was set to TRUE. This would only happen when a non-blocking API hadn't
been provided by the SSL implementation and curlssl_connect() was
called underneath.

zz40-xc-ovr.m4: internals overhauling

- Update comments
- Execute commands in subshells
- Faster path separator check
- Fix missing 'test' command
- Rename private macros
- Minimize AC_REQUIRE usage

email: Removed unnecessary return statements

Small tidy up to remove unnecessary return statements prior to the next
fix.

zz40-xc-ovr.m4: redirect errors and warnings to stderr

zz40-xc-ovr.m4: AC_REQUIRE also XC_CONFIGURE_PREAMBLE success message

zz60-xc-ovr.m4: tighten XC_OVR_ZZ60 macro placement requirements

configure: use XC_CONFIGURE_PREAMBLE early checks

Some basic checks we make were placed early enough in generated
configure script when using autoconf 2.5X versions. Newer autoconf
versions expand these checks much further into the configure script,
rendering them useless. Using XC_CONFIGURE_PREAMBLE fixes placement
of early intended checks across all our autoconf supported versions.

zz40-xc-ovr.m4: provide XC_CONFIGURE_PREAMBLE macro

FAQ: update the SSL lib list and wording in question 2.2

curl_sasl.c: Corrected references to RFC

The most recent version of the RFC is RFC4422 and not RFC2222 as
previously documented.

email: Corrected references to SASL RFC

The most recent version of the SASL RFC is RFC4422 and not RFC2222 as
previously documented.

formpost: support quotes, commas and semicolon in file names

- document the double-quote and backslash need be escaped if quoting.
- libcurl formdata escape double-quote in filename by backslash.
- curl formparse can parse filename both contains '"' and ',' or ';'.
- curl now can uploading file with ',' or ';' in filename.

Bug: http://curl.haxx.se/bug/view.cgi?id=1171

memanalyze.pl: handle fopen() of file names with quotes

xc-cc-check.m4: re-evaluate exporting and AC_SUBST'ing vars

Notes:

When running a configure script that has nested packages (for example
libcurl's configure with --enable-ares and c-ares sources embedded in
curl tree) and AC_CONFIG_SUBDIRS([nested-subdir]) machinery is used to
automatically run the nested configure script from within the parent
configure script, it happens that the nested _shell_ script will
inherit shell variables exported from the parent _shell_ script.

If for example parent configure script sets and exports LDFLAGS and LIBS
variables with proper values in order to link either a parent library or
program with a library which will be configured and built by a nested
package; It will happen that when the nested configure script runs, the
nested library does not exist yet and _any_ link-test done in the nested
configure will fail, such as those that autoconf macros perform in order
to detect existing compiler and its characteristics, the result is that
the nested configure script will fail with errors such as:

configure: error: C compiler cannot create executables

For now, we no longer export variables previously exported here.

On the other hand, AC_SUBST'ing them is appropriate and even with nested
packages each package's config.status gets its own package values.

So we reinstate AC_SUBST'ing previously AC_SUBST'ed variables.

FAQ: 3.22 curl -X gives me HTTP problems

xc-cc-check.m4: avoid recursive package automake'ing breakage

xc-cc-check.m4: mark earlier variables that are to be exported

configure: autotools compatibility fixes - step I

Fix proper macro expansion order across autotools versions for
C compiler and preprocessor program checks.

pop3.c: Fixed conditional compilation of the apop response function

Extended the fix from commit 8b15c84ea91e to additionally exclude
pop3_state_apop_resp() if the CURL_DISABLE_CRYPTO_AUTH flag is
defined.

Makefile.inc: fix $(top_srcdir) not allowed in _SOURCES variables

formadd: reject trying to read a directory where a file is expected

Bug: http://curl.haxx.se/mail/archive-2013-01/0017.html
Reported by: Ulrich Doehner

curl_easy_send.3: document return codes

Reported by: Craig Davison
Bug: http://curl.haxx.se/mail/lib-2013-01/0234.html

curl_easy_recv.3: document return codes

Reported by: Craig Davison
Bug: http://curl.haxx.se/mail/lib-2013-01/0234.html

email: General code tidy up

Corrected some function argument definitions to maximize the 80
character line length limit and be in keeping with the curl
coding style.

pop3.c: Fixed a problem with pop3s connections not connecting properly

Fixed an issue where Curl_ssl_connect_nonblocking() wouldn't complete
correctly and the ssldone flag wouldn't be set to true for pop3s based
connections.

Bug introduced in commit: 4ffb8a6398ed.

RELEASE-NOTES: add references to several bugfixes+changes

RELEASE-NOTES: Added missing imap fix

Added missing imap fix as per commit 709b3506cd9b.

runtests.pl: make VPATH builds find valgrind.supp

RELEASE-NOTES: synced with c43127414d89

always-multi: always use non-blocking internals

Remove internal separated behavior of the easy vs multi intercace.
curl_easy_perform() is now using the multi interface itself.

Several minor multi interface quirks and bugs have been fixed in the
process.

Much help with debugging this has been provided by: Yang Tse

url.c: fix HTTP CONNECT tunnel establishment upon delayed response

Fixes initial proxy response being processed by the tunneled protocol
handler instead of the HTTP wrapper handler. This issue would trigger
upon delayed CONNECT response from the proxy.

Additionally fixes a multi interface code-path in which connections
would not time out properly.

This does not fix known bug #39.

URL: http://curl.haxx.se/mail/lib-2013-01/0191.html

--libcurl: fix for non-zero default options

If the default value for an option taking a long as its value is non
zero, and it is set by zero by a command line option, then that command
line option is not reflected in --libcurl's output. This is because line
520-521 of tool_setopt.c look like:

if(!lval)
    skip = TRUE;

An example of a command-line option doing so is the -k option that sets
CURLOPT_SLL_VERIFYPEER and CURLOPT_SSL_VERIFYHOST to 0L, when the
defaults are non-zero.

FTP: reject illegal port numbers in EPSV 229 responses

commit bc682cbd follow-up

build: use per-target '_CPPFLAGS' for those currently using default

Automake documents that doing this will make it choose a different name
for intermediate object files even when sharing source files across
targets of same Makefile.am.

Up to automake 1.13.1 target's intermediate object files were placed
in the build subdirectory of the target. We depended on this, probably
undocumented behavior, to achieve same behavior as if a per-target flag
had been specified when building targets that actually belong to
different Makefile.am files.

It seems automake 1.13.2 is going to break behavior mentioned above.

So, lets use a documented behavior in order to achieve same purpose,
across automake versions, no matter where automake wishes to place
intermediate object files.

Our build targets that already were using a per-target '_CFLAGS' or
'_CPPFLAGS' need no 'fixing', these were already 'fixed'. The only
Makefile.am or Makefile.in files in libcurl's source tree touched by
this 'fix' are tests/libtest/Makefile.inc and tests/unit/Makefile.inc.

tests/libtest/Makefile.inc: sort build targets

tests/Makefile.am: remove wildcard usage in EXTRA_DIST

nss: fix error messages for CURLE_SSL_{CACERT,CRL}_BADFILE

Do not use the error messages from NSS for errors not occurring in NSS.