[CVE-2017-9502] url: fix buffer overwrite with file protocol

https://github.com/curl/curl/issues/1540

Change-Id: Ic0c511886a16d0655e416882ee9719d1ac120be6

[CVE-2017-7468] TLS: Fix switching off SSL session id when client cert is used

- Move the sessionid flag to ssl_primary_config so that ssl and
  proxy_ssl will each have their own sessionid flag.

Regression since HTTPS-Proxy support was added in cb4e2be. Prior to that
this issue had been fixed in 247d890, CVE-2016-5419.

https://github.com/curl/curl/issues/1341

Change-Id: I3e6e176dafc6e6f103e5d9c077835f620783a3b1

[CVE-2017-7407] --write-out out of buffer read

https://curl.haxx.se/docs/adv_20170403.html

Change-Id: I3cc866289e8929b52d31914f2f3164e18a2e1b5d
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

Revert "Add dependency of nghttp2-devel"

This reverts commit 129a8fb222e334176769a51ab28cdc0923af4ece.

Change-Id: Icc2a618a477fec16c28256a2ea36dd8a10fe114c

Add dependency of nghttp2-devel

Change-Id: Ib78ccd11318ed885fd19f3b809c1b47c94167b4f
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

Used %license macro

Change-Id: Ia5c38d98ea11d1e457014f7210913261a59f5b43

Update version to 7.53.1

Change-Id: I1833883d4e258c60fb93020688eb7e3ff3e2eb47

Imported Upstream version 7.53.1

Change-Id: Id0454e17b6cb083c803c5497d34964dd8fa0dbc6

Revert "Imported Upstream version 7.53.1"

This reverts commit e9bdad71c8277e20607fa1eaf0027d53a0dc1f37.

Change-Id: I4a4edd3ce2207a6f13162aaaf92467a7c1dffd72

Revert "Changed the path of license by using '%license' macro"

This reverts commit 3487493aece049d88444f96dee3a2d3f4fdfbb9c.

Change-Id: I1e29fb50e16c45d649779de96404adbc184f1f5e

Changed the path of license by using '%license' macro

Change-Id: I685efdeb2ab23b18d7935a95e42690d723db632c
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

Imported Upstream version 7.53.1

Change-Id: I575eb99bf2face4938a57889412327e285116bf3

ares: Curl_resolver_wait_resolv: clear *entry first in function

Change-Id: Ia55a6ca41ba2c75fedd114fcfb8aef8ddb968e4e
Signed-off-by: Saurav Babu <saurav.babu@samsung.com>

ares: better error return on timeouts

Assisted-by: Ray Satiro
Bug: https://curl.haxx.se/mail/lib-2017-03/0009.html

Change-Id: I7779aa144996b539d7a706b776cee09eebae6dcb
Signed-off-by: Saurav Babu <saurav.babu@samsung.com>

ares: return error at once if timed out before name resolve starts

Pointed-out-by: Ray Satiro
Bug: https://curl.haxx.se/mail/lib-2017-03/0004.html

Change-Id: I7c38e9dc6f386001692fa3b02f5bba00b59f4f45
Signed-off-by: Saurav Babu <saurav.babu@samsung.com>

[P161227-02691, P161220-01444] Force ongoing connections to close in close_all_connections()

Bug: https://curl.haxx.se/mail/lib-2016-10/0011.html
Bug: https://curl.haxx.se/mail/lib-2016-10/0059.html

Change-Id: I6e015569958cc0da3bd9b03f17d4b32d475ebd0e
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

Remove dependency with ca-certificates

Change-Id: Ic4b50ae08734463d9d1a37f86ec60a8f2459e818
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

[CVE-2016-7167] curl escape and unescape integer overflows

Change-Id: Iffbaa7823c992cd93b8961ce69e7f6ac3f903e36
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

Add default CA bundle

Change-Id: Icc8dd83f8ab59cb18e6d9d6a7f732c6d1ba7cfa4
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

Add default cipher list for TV

Change-Id: Ibe293221f37388b85aed58ec40793baac2cccd14
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

openssl: fix bad memory free (regression)

The allocation could be made by OpenSSL so the free must be made with OPENSSL_free() to avoid problems.
(https://github.com/curl/curl/issues/1005)

Change-Id: I07527924fe20ed859cbd5d7ade356410c64d71c7
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

Update to 7.50.2

Change-Id: I1c5ba709c310e2c1735c12102e48f71d3413146b

Imported Upstream version 7.50.2

Change-Id: I91c6040940a21b2bebab9d6cab11d50767b7bac4

Change build macro for Tizen TV

This macro is ignored on build.tizen.org
It's only for Tizen TV build system

Change-Id: I0aa69505ddcfc1973d864f260d2b5e3f2fd87a3d
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

Add default cipher list for TV

Change-Id: I91579c36473a9619d00990c5897831006d89670f
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

[CVE-2016-4802] Windows DLL hijacking

Change-Id: I52bc7cb34ac493c20588876294d59039af03cbe1
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

[CVE-2016-3739] TLS certificate check bypass with mbedTLS/PolarSSL

Change-Id: I76d120f5c9e696ecd402a2099b94759cc22a51e2
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

Merge branch 'upstream' into tizen

Upgrade version 7.48.0

Change-Id: Ibb643307cb5add844a733bb23cb6051bc0fdb100
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

Imported Upstream version 7.48.0

Change-Id: Ibca5368d95ef0b73c945bb0df8b7ef9fc3e3bd82
Signed-off-by: Taesub Kim <taesub.kim@samsung.com>

Revert "Imported Upstream version 7.44.0"

This reverts commit 8a08705db260779441360e959b97b6c172f8acb0.

Change-Id: Ie319aab9015869b714a03b8aa890a67ccbc9233e

Revert "Update to 7.44.0"

This reverts commit 2bc9d6bb53df44a0c5174767de734620c2cdfd9e.

Change-Id: I831001a99b6ad80dc062c84b3877208e1b40b80a

Update to 7.44.0

Change-Id: I5b1e06765d1fe3c75597ff7db9831228ea0cad05
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

Imported Upstream version 7.44.0

Change-Id: I04e7fac0b620653ff8c174e87039756e98c4fb02

Revert "Imported Upstream version 7.44.0"

This reverts commit 31368b6eac8092a307849518e912b4c475c0238a.

Change-Id: I3428294b4931a00ba9684528d3ffb326f92ed4e8

Imported Upstream version 7.44.0

Change-Id: Iacb2e604edff0cb8e7687289419ad1908a7a9de6

Replace 'tizen_profile_name' to 'profile' for Tizen 3.0

Change-Id: I92101758608b72134f28d38fc11d01c527d2f05e
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

Upgrade upstream version to 7.40.0

Change-Id: I60df9f32924246f842db1056534bb707e77b431e

Imported Upstream version 7.40.0

Change-Id: I744943f451cb7db8f796a53f10dd6f57c297287d

Base code merged to SPIN 2.4

Change-Id: I345fdf6d033fc695d6f3f3ea0c55e7c8b542e348

Revert "Update to 7.40.1"

This reverts commit 32de14ae0782822e9c54c3fbb28cdefc1f4de969.

Change-Id: I955d8a59ce444eac32b74264d98272297ac51b9b

Update to 7.40.1

Change-Id: I91d61adf7c97502bbc4370c6b095bbe39aa6cb60
Signed-off-by: Seonah Moon <seonah1.moon@samsung.com>

Bump to version 7.37.1

Use upstream git instead of pristin-tar.

Also use "%__make" and "%make_install" rpm macros.

Bug-Tizen: TC-1807
Change-Id: If52b5604533d6e03826eae8ce35c01184cf208ab
Signed-off-by: Kévin THIERRY <kevin.thierry@open.eurogiciel.org>

Packaging cleanups

- Fix whitespace
- Package license for libcurl
- Fix RPM group tags
- Add the upstream URL

Change-Id: I101c1d0272da282dced66d439058d84ead13bd39

Update to 7.32.0

This update addresses the following CVEs:

 - CVE-2011-2192
 - CVE-2012-0036
 - CVE-2013-1944

Change-Id: I58ed3c3561cbb670fb49ffc43a5e6b3be7c1a829

resetting manifest requested domain to floor

Change-Id: Ib4fd617379bc46744c4a951b8232fabe30e7e4c1

Add baselibs

Change-Id: I147e3da210e065be06ee455dd91c6d7548ed7492

add packaging

Change-Id: Ia2b58e13b0000ced9c1e8c4895f0cdffb27cc877

RELEASE-NOTES: synced with 4cb2521595

test506: verify aa6884845168

After the fixed cookie lock deadlock, this test now passes and it
detects double-locking and double-unlocking of mutexes.

cookie: avoid mutex deadlock

... by removing the extra mutex locks around th call to
Curl_flush_cookies() which takes care of the locking itself already.

Bug: http://curl.haxx.se/mail/lib-2014-02/0184.html

gnutls: fix compiler warning

conversion to 'int' from 'long int' may alter its value

test320: strip off the actual negotiated cipher width

It's irrelevant to the test, and will change depending on which SSL
library is being used by libcurl.

gnutls: detect lack of SRP support in GnuTLS at run-time and try without

Reported-by: David Woodhouse

configure: respect host tool prefix for krb5-config

Use ${host_alias}-krb5-config if available. This improves cross-
compilation support and fixes multilib on Gentoo (at least).

gnutls: handle IP address in cert name check

Before GnuTLS 3.3.6, the gnutls_x509_crt_check_hostname() function
didn't actually check IP addresses in SubjectAltName, even though it was
explicitly documented as doing so. So do it ourselves...

build: set _POSIX_PTHREAD_SEMANTICS on Solaris to get proper getpwuid_r

RELEASE-NOTES: next one is called 7.37.1

gnutls: improved error message if setting cipher list fails

Reported-by: David Woodhouse

netrc: fixed thread safety problem by using getpwuid_r if available

The old way using getpwuid could cause problems in programs that enable
reading from netrc files simultaneously in multiple threads.

Reported-by: David Woodhouse

RELEASE-NOTES: add the reporter of the previous bug fix

netrc: treat failure to find home dir same as missing netrc file

This previously caused a fatal error (with a confusing error code, at
that).

Reported by: Glen A Johnson Jr.

RELEASE-NOTES: Synced with aaaf9e50ec

ntlm_wb: Fixed buffer size not being large enough for NTLMv2 sessions

Bug: http://curl.haxx.se/mail/lib-2014-07/0103.html
Reported-by: David Woodhouse

build: Fixed overridden compiler PDB settings in VC7 to VC12

The curl tool project files for VC7 to VC12 would override the default
setting with the output filename being the same as the linker PDB file.
As such the compiler file would be overwritten with the linker file
for all debug builds.

To avoid this overwrite and for consistency with the libcurl project
files, removed the setting to force the default filename to be used.

tests: added globbing keyword to URL globbing tests

Fixed some "statement not reached" warnings

gnutls: fixed a couple of uninitialized variable references

gnutls: fixed compilation against versions < 2.12.0

The AES-GCM ciphers were added to GnuTLS as late as ver. 3.0.1 but
the code path in which they're referenced here is only ever used for
somewhat older GnuTLS versions. This caused undeclared identifier errors
when compiling against those.

gnutls: explicitly added SRP to the priority string

This seems to have become necessary for SRP support to work starting
with GnuTLS ver. 2.99.0. Since support for SRP was added to GnuTLS
before the function that takes this priority string, there should be no
issue with backward compatibility.

tests: adjust for capitalization differences in newer gnutls-serv

test320/1/2/4: fix the port number substitution variables

These tests have been broken since commit 1958fe57 in Oct. 2011

tests: document more test identifiers and variables

gnutls: ignore invalid certificate dates with VERIFYPEER disabled

This makes the behaviour consistent with what happens if a date can
be extracted from the certificate but is expired.

CURLOPT_UPLOAD: Corrected argument type

FAQ: expand the thread-safe section

... with a mention of *NOSIGNAL, based on talk in bug #1386

url.c: Fixed memory leak on OOM

This showed itself on some systems with torture failures
in tests 1060 and 1061

Update instances of some obsolete CURLOPTs to their new names

compiler warnings: potentially uninitialized variables

... pointed out by MSVC2013

Bug: http://curl.haxx.se/bug/view.cgi?id=1391

nss: make the list of CRL items global

Otherwise NSS could use an already freed item for another connection.

nss: fix a memory leak when CURLOPT_CRLFILE is used

nss: make crl_der allocated on heap

... and spell it as crl_der instead of crlDER

nss: let nss_{cache,load}_crl return CURLcode

tool: oops, forgot to include <plarenas.h>

... that contains the declaration of PL_ArenaFinish()

tool: call PL_ArenaFinish() on exit if NSPR is used

This prevents valgrind from reporting still reachable memory allocated
by NSPR arenas (mainly the freelist).

Reported-by: Hubert Kario

example: use correct type (long) for CURLOPT_FOLLOWLOCATION

Document type of argument for CURLOPT_FOLLOWLOCATION.

Document type of argument for CURLOPT_ERRORBUFFER.

Document type of argument for CURLOPT_COPYPOSTFIELDS.

Document type of argument for CURLOPT_ADDRESS_SCOPE.

curl.1: minor language fix

Bug: http://curl.haxx.se/mail/archive-2014-07/0006.html

progress callback: skip last callback update on errors

When an error has been detected, skip the final forced call to the
progress callback by making sure to pass the current return code
variable in the Curl_done() call in the CURLM_STATE_DONE state.

This avoids the "extra" callback that could occur even if you returned
error from the progress callback.

Bug: http://curl.haxx.se/mail/lib-2014-06/0062.html
Reported by: Jonathan Cardoso Machado

opts: fixed some CURLOPT references so they get turned into links

tool: call PR_Cleanup() on exit if NSPR is used

This prevents valgrind from reporting possibly lost memory that NSPR
uses for file descriptor cache and other globally allocated internal
data structures.

nss: make the fallback to SSLv3 work again

This feature was unintentionally disabled by commit ff92fcfb.

nss: do not abort on connection failure

... due to calling SSL_VersionRangeGet() with NULL file descriptor

reported-by: upstream tests 305 and 404

opts: Document the socket callback function parameters

opts: Fixed some typos

curl_easy_setopt.3: fixed the error code for an unsupported option

opts: added some DEFAULT and RETURN VALUE sections

libcurl docs: man page edits

mainly to improve how the web versions render