lorikeet-heimdal: apply_heimdal: Try harder to apply patches from Samba

Signed-off-by: Andrew Bartlett <abartlet@samba.org>

lorikeet-heimdal: apply_heimdal: Only show the Heimdal part of the patch to cherry-pick

Signed-off-by: Andrew Bartlett <abartlet@samba.org>

lorikeet-heimdal: Include Samba commit in cherry-picked patches

Signed-off-by: Andrew Bartlett <abartlet@samba.org>

lorikeet-heimdal: improve apply_heimdal.sh

lorikeet-heimdal: specify hash to heimdal import, rather than using the date

lorikeet-heimdal: rebase-lorikeet: Explicitly use bash.

Standard sh doesn't have pushd/popd.

lorikeet-heimdal: Add a new script to help merging patches from Samba4 to heimdal

lorikeet-heimdal: improve import-lorikeet.sh for the toplevel build

metze

lorikeet-heimdal: Improve the heimdal import scripts

lorikeet-heimdal: add scipts to rebase and import the latest version into samba4

If you use this scripts, read them! :-)

metze

[abartlet@samba.org Removed lexyacc build step as this is no longer required
 in Samba, which builds the files at compile time]

lorikeet-heimdal: add HEIMDAL-LICENCE.txt

metze

lorikeet-heimdal: camellia-ntt GPLv2+ license

metze

lorikeet-heimdal: autogen.sh modifications

metze

Use perl module JSON:PP, part of core, instead of JSON package

This patch removes the need for an external package.

Ported from
https://github.com/openwrt/packages/blob/master/net/samba4/patches/105-perl-json-pp.patch
https://github.com/openwrt/packages/commit/402f4ba4eff65b80a9deaa6085256112bec4d67b#diff-208d4e0345c9d29fbec23d6f655ba794afd3052f5cb8dd73944db72ce81b847b

Signed-off-by: Bernd Kuhls <bernd@kuhls.net>

kdc: Add global disable_pac config param

httpkadmind: Add auth-data-reqd attribute

kadmin: Add auth-data-reqd attribute

kadm5: Add KRB5_KDB_AUTH_DATA_REQUIRED attribute

hdb: Add auth-data-reqd flag

kdc: Honor no-auth-data-reqd on cross-real TGTs

Nowadays we use PACs instead of AD-SIGNEDPATH, so we want a PAC on every
TGT, but we don't necessarily want PACs on cross-realm TGTs.

Specifically, we don't interop well yet with AD when issuing cross-realm
TGTs with AD realms as the destination realm (see #1091).

Makefile.am: Set AM_YFLAGS and AM_LFLAGS, not YFLAGS or LFLAGS.

YFLAGS and LFLAGS are reserved for the user to set, not for makefiles
to set:
https://www.gnu.org/software/automake/manual/html_node/Flag-Variables-Ordering.html

fix https://github.com/heimdal/heimdal/issues/1171

Pass -d to yacc(1) so it generates the header file.

Bison must generate this unsolicited, but BSD yacc does not.

The makefiles for lib/com_err and lib/sl already did this; this
change just adds it to lib/asn1 and lib/hx509 too.

fix https://github.com/heimdal/heimdal/issues/1100

kinit: Update SecKeychainFindGenericPassword to SecItemCopyMatching.

Tested on macOS Venture 13.4.  Not sure if this requires some
compatibility ifdefs for older macOS.

fix https://github.com/heimdal/heimdal/issues/1168

hdb/hdb-mitdb: Nix unused variable key_data in mdb_seq.

key_data is unused.  Presumably this was copypasta from DB_seq in
hdb/db.c, where it is used for the Heimdal database format in which
the value may be missing a principal but it can be recovered from the
key.  In contrast, the mit-krb5 format appears to always store the
principal in the value and _hdb_mdb_value2entry always retrieves it,
with no need for a key2principal fallback.

fix https://github.com/heimdal/heimdal/issues/1102

gssmask: Use asprintf to avoid having to think about max uname.

This way there is no truncation and no build failure due to
-Werror=format-truncation as is the default in some compilers, such
as gcc7.4 with -Wall -Werror.

This is presumably not space-constrained or performance-critical; the
very next thing it does is another asprintf and frees it immediately.
And uname is not usually under any adversary's control.

fix https://github.com/heimdal/heimdal/issues/1105

kdc: Overwrite ‘error_code’ only if we have an actual error

‘r->error_code’ might have been set earlier, and we don’t want to
overwrite it with a successful error code.

Signed-off-by: Joseph Sutton <josephsutton@catalyst.net.nz>

kdc: Ensure that we emit a non-zero error code

If ‘r->error_code’ was zero, we would turn it into an ERR_GENERIC error
and return that to the client. Now we return the actual error code
instead.

Signed-off-by: Joseph Sutton <josephsutton@catalyst.net.nz>

kdc: Fix discarded qualifiers warning

Signed-off-by: Joseph Sutton <josephsutton@catalyst.net.nz>

kdc: Don’t abort if krb5_generate_random_keyblock() fails

There are a few reasons that this function could fail (e.g., failure to
allocate memory) besides random number generation being unavailable. No
other caller abort()s on failure like this.

Furthermore, krb5_generate_random_block(), which is called by
krb5_generate_random_keyblock(), already aborts if random generation
fails.

Signed-off-by: Joseph Sutton <josephsutton@catalyst.net.nz>

kdc: Fix missing space in log messages

Signed-off-by: Joseph Sutton <josephsutton@catalyst.net.nz>

kdc: Remove trailing space from log message

Signed-off-by: Joseph Sutton <josephsutton@catalyst.net.nz>

kdc: Remove trailing space from log message

Signed-off-by: Joseph Sutton <josephsutton@catalyst.net.nz>

krb5: Return appropriate error code

kdc: Fix log message typo

third_party/heimdal: Fix deprecation messages

Signed-off-by: Joseph Sutton <josephsutton@catalyst.net.nz>

kadmin/check: move error messages to stderr

This helps with certain automation tools, such as ansible, that usually
expect failure to be visible in stderr.

Other minor changes:
* replace "doesn't" with "does not" to keep messages consistent and
  avoid escaping quotes in grep, etc.
* add newlines

hx509/hxtool.c: ensure parse_bytes() result does not overflow

asn1/check-gen.c: disable some non working bignum tests on 32 bit systems

kcm,kdc/config.c: detect too big max_request sizes (>= 64 MB)

roken/parse_bytes: fix test for >= terabyte units on 32 bit systems

On 32 bit systems, sizeof(ssize_t) and sizeof(unsigned long aka UL) is
32 bits which is not able to hold the value of a terabyte.

krb5: Make heimdal_version and heimdal_long_version const.

Pretty sure it is not useful for applications to be able to write to
this.

However, caveat: this could break programs that expect to pass around
&heimdal_version or &heimdal_long_version to functions that expect
pointers to non-const objects even if they don't modify them.

com_err: Constify xyz_error_strings arrays.

Note: This changes the types of public symbols.  It is unlikely that
any applications would rightly _write_ to these arrays, but it is
possible they might require some UNCONST in order to pass the
pointers to other functions that are missing const qualifiers.

krb5/constants.c: Make some constants constant.

This changes the public header file but I doubt it was ever intended
that applications could change these by writing to them.  (Not sure
why they're not declared as const arrays in any case.)

ipc/client.c: Make never-modified global ipcstable const.

krb5/send_to_kdc.c: Constify plugin stuff.

krb5/pcache.c: Constify plugin stuff.

krb5/kuserok.c: Constify plugin stuff.

krb5/krbhst.c: Constify plugin stuff.

krb5/db_plugin.c: Constify plugin stuff.

krb5/aname_to_localname.c: Constify plugin stuff.

krb5/plugin.c: Constify.

base/plugin.c: Constify.

As a bonus, eliminate an unnecessary rk_UNCONST.

krb5/send_to_kdc.c: Sprinkle const on global data never changed.

libkrb5, libkdc: Constify salted s2k default iterator counts.

These externs should really be in a .h file shared by definition and
usage sites so the C compiler can verify that they match.

krb/pac.c: Sprinkle const on global data never changed.

krb5/init_creds_pw.c: Sprinkle const on global data not changed.

krb5/get_in_tkt.c: Sprinkle const on global data never changed.

krb5/get_host_realm.c: Sprinkle const on global data never changed.

krb5/context.c: Sprinkle const for global data never changed.

krb5/changepw.c: Sprinkle const for global data never changed.

krb5/addr_families.c: Sprinkle const for global data never changed.

libheimbase: Allow static const heim types.

krb5/mk_error.c: Constify and rk_UNCONST a static buffer.

This is almost certainly intended never to be written to, so let's
let the operating system detect that mistake for us by mapping it in
a .rodata segment mapped read-only that will cause SIGSEGV on write.

fix https://github.com/heimdal/heimdal/issues/1136

krb5_decrypt_iov_ivec: Make sure const zero IV is actually const.

This way if anything _does_ write to it, it has the opportunity to be
caught by SIGSEGV, by having zero_ivec in a .rodata segment mapped
read-only.

fix https://github.com/heimdal/heimdal/issues/1135

kdc: Pass in HDB_F_ARMOR_PRINCIPAL when fetching armor ticket client principal

Signed-off-by: Joseph Sutton <josephsutton@catalyst.net.nz>

hdb: Add flag to indicate a fetch for the client of an armor ticket

Signed-off-by: Joseph Sutton <josephsutton@catalyst.net.nz>

kdc: Have caller pass HDB_F_FOR_TGS_REQ into _kdc_fast_check_armor_pac()

We shall soon want to use this function for AS-REQs as well as TGS-REQs.

Signed-off-by: Joseph Sutton <josephsutton@catalyst.net.nz>

kdc: don't announce KRB5_PADATA_GSS unless gss_preauth is enabled

BUG: https://bugzilla.samba.org/show_bug.cgi?id=15273

Signed-off-by: Stefan Metzmacher <metze@samba.org>

kdc: don't announce KRB5_PADATA_PKINIT_KX unless anonymous is allowed

BUG: https://bugzilla.samba.org/show_bug.cgi?id=15273

Signed-off-by: Stefan Metzmacher <metze@samba.org>

kdc: don't announce KRB5_PADATA_FX_FAST unless fast is enabled

BUG: https://bugzilla.samba.org/show_bug.cgi?id=15273

Signed-off-by: Stefan Metzmacher <metze@samba.org>

roken: qsort provide ANSI C prototype for swapfunc()

K&R is no longer acceptable.

roken: snprintf properly account for char widths

If a char width is specified the number of output buffer bytes
consumed might be greater than one.   Update append_char() to
return the number of bytes consumed and use that value in xyzprintf()
instead of one.

krb5: krb5_enctype_to_keytype cast krb5_enctype to krb5_keytype

The struct _krb5_key_type.type is krb5_enctype.   Cast it to
krb5_keytype before assigning to the 'krb5_keytype *keytype'
output variable to avoid a warning from Clang 1500 on Darwin.

ipropd-slave: Fetch new credentials more often

If the master is unreachable for a while we can end up with expired
tickets that don't get refreshed, then ipropd-slave gets stuck until
it's manually restarted.

kinit: Translate context init error codes (fix #1126)

base: Translate context init error codes

base: Do support /dev/null as a config file

kadmin: Add missing options to kadmin(1) page (fix #1118)

Fix ctype.h misuse.

Excluded: libtomath and libedit files, most of which appear to be
testing or example code not involved in production, and which are
derived from an upstream that should perhaps have patches submitted
upstream instead.

fix https://github.com/heimdal/heimdal/issues/1111

krb5: Fix crash in resolving "DIR" as a ccache name (Fix #1108)

doc: Document KRB5CCNAME and KRB5_KTNAME

admin: Document KRB5_KTNAME env var

wind: Fix build (snprintf overflow warning in test)

GHA: Upgrade to Python 3

GHA: Upgrade to Ubuntu 22.04 (fix #1114)

kinit: Document KRB5CCNAME value syntax

cf: Honour OpenSSL library and include paths

Check for OpenSSL features while LDFLAGS and CFLAGS are set with
the paths provided in the configure command line. This allows
detecting a non-default OpenSSL's version correctly, such as
on FreeBSD with one of the OpenSSL 3.0 ports.

krb5: fixup crypto.c avoid realloc to trim memory allocation

1b1ff8fdd571f66624cf744b2333493cc7e781d4 ("krb5: crypto.c avoid realloc
to trim memory allocation") removed the realloc() but failed to assign
'p' to 'result->data'.

krb5: crypto.c avoid realloc to trim memory allocation

decrypt_internal_derived(), decrypt_internal_enc_then_cksum(),
decrypt_internal(), and decrypt_internal_special() execute the
following pattern where 'p' is an allocation of size 'len'

  l = len - n
  memmove(p, p + n, l);
  result->data = realloc(p, l);
  if (result->data == NULL && l != 0) {
      free(p);
      return krb5_enomem(context);
  }
  result->length = l;

which when compiled by gcc 13.0.1-0.12.fc38 or gcc-13.0.1-0.13.fc39
generates the following warning

  warning: pointer 'p' may be used after 'realloc' [-Wuse-after-free]

The C language specification indicates that it is only safe to free()
the pointer passed to realloc() if errno is set to ENOMEM.  Yet the
warning is generated by the following pattern

  l = len - n
  memmove(p, p + n, l);
  errno = 0;
  result->data = realloc(p, l);
  if (result->data == NULL && l != 0) {
      if (errno == ENOMEM)
          free(p);
      return krb5_enomem(context);
  }
  result->length = l;

The value of performing the realloc() is questionable.  realloc()
in many cases will need to perform a second allocation of the
smaller size and then perform a memcpy() which will slow down
the operation without saving much memory.  The allocation is already
very small.

This change avoids the warning by removing the realloc() entirely.

kinit: w/ command ignore SIGINT/SIGQUIT (fix #1077)

spnego/context_storage: undef sc_flags (for hpux)

On hpux this is seems to be a define from sys/signal.h:

which renders the variable name invalid.

heimdal/asn1: do not throw error when trying to allocate 0 bytes of memory

heimbase-atomics.h: replace heim_base_atomic_barrier with syntax valid noop

in case there is no implementation available.

hcrypto: Fix performance regression

gss: colaesce DCE_STYLE padding/trailer buffer check

gss: use mechglue instead of gssntlm encoders

Replace calls to {en,de}code...() with mechglue equivalents.

gss: don't truncate authtime in gsskrb5_extract_authtime_from_sec_context()

The interface between the krb5 mechanism and the mechglue API
gsskrb5_extract_authtime_from_sec_context() assumed the authtime would fit into
an uint32_t, which is not the case on platforms where time_t is 64-bit.

Fixes: #1073

gss: add 64-bit int {en,de}coders to mechglue

gss: use mechglue instead of gsskrb5 encoders

Replace calls to _gsskrb5_{en,de}code...() with mechglue equivalents.

Update krb5.conf

proposal adding include or include.d in krb5.conf as comment