pull up r25536 from trunk

 ------------------------------------------------------------------------
 r25536 | ghudson | 2011-12-09 12:57:52 -0500 (Fri, 09 Dec 2011) | 8 lines

 ticket: 7049
 subject: Fix subkey memory leak in krb5_get_credentials
 target_version: 1.10
 tags: pullup

 If a get_credentials operation requires multiple TGS requests, we need
 to free the subkey from previous requests before saving a new one.

ticket: 7052
version_fixed: 1.9.3
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25587 dc483132-0cff-0310-8789-dd5450dbe970

SA-2011-007 KDC null pointer deref in TGS handling [CVE-2011-1530]

pull up r25525 from trunk

 ------------------------------------------------------------------------
 r25525 | tlyu | 2011-12-06 15:42:46 -0500 (Tue, 06 Dec 2011) | 8 lines

 ticket: 7042
 subject: SA-2011-007 KDC null pointer deref in TGS handling [CVE-2011-1530]
 target_version: 1.10
 tags: pullup

 Fix a null pointer dereference condition that could cause a denial of
 service.

ticket: 7043
version_fixed: 1.9.3

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25527 dc483132-0cff-0310-8789-dd5450dbe970

pull up r25480 from trunk, minus a non-applying manpage patch

 ------------------------------------------------------------------------
 r25480 | ghudson | 2011-11-20 00:19:45 -0500 (Sun, 20 Nov 2011) | 13 lines

 ticket: 7021
 subject: Fix failure interval of 0 in LDAP lockout code
 target_version: 1.10
 tags: pullup

 A failure count interval of 0 caused krb5_ldap_lockout_check_policy to
 pass the lockout check (but didn't cause a reset of the failure count
 in krb5_ldap_lockout_audit).  It should be treated as forever, as in
 the DB2 back end.

 This bug is the previously unknown cause of the assertion failure
 fixed in CVE-2011-1528.

ticket: 7040
version_fixed: 1.9.3
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25513 dc483132-0cff-0310-8789-dd5450dbe970

pull up r25472 from trunk

 ------------------------------------------------------------------------
 r25472 | ghudson | 2011-11-14 13:02:52 -0500 (Mon, 14 Nov 2011) | 12 lines

 ticket: 7016
 subject: Handle TGS referrals to the same realm
 target_version: 1.9.3
 tags: pullup

 krb5 1.6 through 1.8 contained a workaround for the Active Directory
 behavior of returning a TGS referral to the same realm as the request.
 1.9 responds to this behavior by caching the returned TGT, trying
 again, and detecting a referral loop.  This is a partial regression of
 ticket #4955.  Detect this case and fall back to a non-referreal
 request.

ticket: 7016
version_fixed: 1.9.3
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25506 dc483132-0cff-0310-8789-dd5450dbe970

Fix month/year units in getdate

pull up r25444 from trunk

 ------------------------------------------------------------------------
 r25444 | ghudson | 2011-11-06 00:32:34 -0500 (Sun, 06 Nov 2011) | 10 lines

 ticket: 7003
 subject: Fix month/year units in getdate
 target_version: 1.10
 tags: pullup

 getdate strings like "1 month" or "next year" would fail some of the
 time, depending on the value of stack garbage, because DSTcorrect()
 doesn't set *error on success and RelativeMonth() doesn't initialize
 error.  Make DSTcorrect() responsible for setting *error in all cases.

ticket: 7009
version_fixed: 1.9.3
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25461 dc483132-0cff-0310-8789-dd5450dbe970

Exit on error in kadmind kprop child

pull up r25433 from trunk

 ------------------------------------------------------------------------
 r25433 | ghudson | 2011-11-04 01:53:23 -0400 (Fri, 04 Nov 2011) | 9 lines

 ticket: 7000
 subject: Exit on error in kadmind kprop child
 target_version: 1.10
 tags: pullup

 When we fork from kadmind to dump the database and kprop to an iprop
 slave, if we encounter an error in the child process we should exit
 rather than returning to the main loop.

ticket: 7008
version_fixed: 1.9.3
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25460 dc483132-0cff-0310-8789-dd5450dbe970

Fix intermediate key length in hmac-md5 checksum

pull up r25418 from trunk

 ------------------------------------------------------------------------
 r25418 | ghudson | 2011-10-28 11:45:03 -0400 (Fri, 28 Oct 2011) | 9 lines

 ticket: 6994
 subject: Fix intermediate key length in hmac-md5 checksum
 target_version: 1.10
 tags: pullup

 When using hmac-md5, the intermediate key length is the output of the
 hash function (128 bits), not the input key length.  Relevant if the
 input key is not an RC4 key.

ticket: 7007
version_fixed: 1.9.3
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25459 dc483132-0cff-0310-8789-dd5450dbe970

pull up r25417 from trunk

 ------------------------------------------------------------------------
 r25417 | ghudson | 2011-10-26 18:34:21 -0400 (Wed, 26 Oct 2011) | 7 lines

 ticket: 6993
 subject: Fix format string for TRACE_INIT_CREDS_SERVICE
 tags: pullup
 target_version: 1.9.2

 This should also be pulled up to 1.10.

ticket: 6993
version_fixed: 1.9.3
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25458 dc483132-0cff-0310-8789-dd5450dbe970

krb5-1.9.2-postrelease

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25441 dc483132-0cff-0310-8789-dd5450dbe970

README and patchlevel.h for krb5-1.9.2

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25427 dc483132-0cff-0310-8789-dd5450dbe970

make depend

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25426 dc483132-0cff-0310-8789-dd5450dbe970

krb5-1.9.2-beta1-postrelease

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25413 dc483132-0cff-0310-8789-dd5450dbe970

README and patchlevel.h for krb5-1.9.2-beta1

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25411 dc483132-0cff-0310-8789-dd5450dbe970

fix tar invocation in mkrel

pull up r25395 from trunk

 ------------------------------------------------------------------------
 r25395 | tlyu | 2011-10-21 13:35:49 -0400 (Fri, 21 Oct 2011) | 10 lines

 ticket: 6989
 subject: fix tar invocation in mkrel
 target_version: 1.10
 tags: pullup

 Fix the tar invocation in mkrel so that it defaults to using "tar" as
 the tar program rather than "gtar".

 This should probably be pulled up to at least 1.9 and 1.8 as well.

ticket: 6990
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25396 dc483132-0cff-0310-8789-dd5450dbe970

pull up r25059 from trunk

 ------------------------------------------------------------------------
 r25059 | ghudson | 2011-07-26 17:57:20 -0400 (Tue, 26 Jul 2011) | 10 lines

 ticket: 6939
 subject: Legacy checksum APIs usually fail
 target_version: 1.9.2
 tags: pullup

 krb5_calculate_checksum() and krb5_verify_checksum(), both deprecated,
 construct invalid keyblocks and pass them to the real functions, which
 used to work but now doesn't.  Try harder to construct valid keyblocks
 or pass NULL if there's no key.

ticket: 6939
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25390 dc483132-0cff-0310-8789-dd5450dbe970

pull up r25323 from trunk

 ------------------------------------------------------------------------
 r25323 | ghudson | 2011-10-07 18:17:06 -0400 (Fri, 07 Oct 2011) | 8 lines

 ticket: 6972
 target_version: 1.9.2
 tags: pullup

 Fix a memory leak in make_gss_checksum.

 From greg.mcclement@sap.com.

ticket: 6972
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25383 dc483132-0cff-0310-8789-dd5450dbe970

pull up r25309 from trunk

 ------------------------------------------------------------------------
 r25309 | hartmans | 2011-10-05 17:30:42 -0400 (Wed, 05 Oct 2011) | 11 lines

 ticket: 6970
 subject: gss_unwrap_iov crashes with stream buffers for 3des, des, rc4
 tags: pullup

 Use correct key to determine enctype for KG2 tokens in
 kg_unseal_stream_iov

 Tested with AES for a new enctype and 3DES for an old enctype.

Signed-off-by: Kevin Wasserman <kevin.wasserman@painless-security.com>
ticket: 6970
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25382 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24828 from trunk

 ------------------------------------------------------------------------
 r24828 | raeburn | 2011-04-03 17:54:32 -0400 (Sun, 03 Apr 2011) | 2 lines

 Include krb5_libinit.h always, since we call krb5int_initialize_library always.

ticket: 6960
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25381 dc483132-0cff-0310-8789-dd5450dbe970

pull up r25121 from trunk

 ------------------------------------------------------------------------
 r25121 | ghudson | 2011-09-01 12:21:25 -0400 (Thu, 01 Sep 2011) | 9 lines

 ticket: 6952
 subject: Fix cross-realm traversal TGT requests
 target_version: 1.9.2
 tags: pullup

 When requesting a cross-realm TGT, use the KDC instance of the current
 TGT (the second data component), not the realm which the TGT came
 from.

ticket: 6952
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25380 dc483132-0cff-0310-8789-dd5450dbe970

pull up r25115 from trunk

 ------------------------------------------------------------------------
 r25115 | ghudson | 2011-08-26 13:56:44 -0400 (Fri, 26 Aug 2011) | 9 lines

 ticket: 6949

 Remember and close the kadmin socket we opened.

 Prior to ticket #6746, the RPC library opened the kadmin socket and
 took responsibility for closing.  When we added IPv6 support, the
 calling code became the owner of the socket but wasn't closing it,
 resulting in a file descriptor leak.

ticket: 6949
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25379 dc483132-0cff-0310-8789-dd5450dbe970

pull up r25096 from trunk

 ------------------------------------------------------------------------
 r25096 | ghudson | 2011-08-11 11:03:28 -0400 (Thu, 11 Aug 2011) | 7 lines

 ticket: 6943
 target_version: 1.9.2
 tags: pullup

 Correctly dereference cred_handle when assigning to spcred in
 spnego_gss_set_cred_option.  Reported by aberry@likewise.com.

ticket: 6943
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25378 dc483132-0cff-0310-8789-dd5450dbe970

pull up r25076 from trunk

 ------------------------------------------------------------------------
 r25076 | ghudson | 2011-08-08 14:27:15 -0400 (Mon, 08 Aug 2011) | 14 lines

 ticket: 6941
 subject: Fix accidental KDC use of replay cache
 target_version: 1.9.2
 tags: pullup

 r24464 (ticket #6804) intended to remove the KDC replay cache by
 eliminating all of the USE_RCACHE code, but it had the unintended side
 effect of causing krb5_rd_req_decoded to use the default server
 rcache.  Using this cache is much less efficient because it is opened
 and re-read for each request.

 Set appropriate flags on the auth context to disable replay cache use
 for TGS requests altogether.

------------------------------------------------------------------------

ticket: 6941
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25374 dc483132-0cff-0310-8789-dd5450dbe970

pull up r25037 from trunk

 ------------------------------------------------------------------------
 r25037 | ghudson | 2011-07-22 12:56:36 -0400 (Fri, 22 Jul 2011) | 9 lines

 Fix gss_set_cred_option cred creation with no name.

 When creating a cred in the mechglue with gss_acquire_cred, the
 mechanism is allowed to return no name from gss_inquire_cred.  But in
 the analagous operation in gss_set_cred_option, that would result in
 an error from gss_display_name.  Make the call to gss_display_name
 conditional on the mechanism name being set.  Reported by Andrew
 Bartlett.

ticket: 6932
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25373 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24909 from trunk

 ------------------------------------------------------------------------
 r24909 | tlyu | 2011-05-02 16:57:23 -0400 (Mon, 02 May 2011) | 7 lines

 ticket: 6906
 subject: modernize doc/Makefile somewhat
 status: open

 Modernize doc/Makefile somewhat so that it can run more usefully on
 modern non-Athena machines.

ticket: 6906
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25372 dc483132-0cff-0310-8789-dd5450dbe970

SA-2011-006 KDC denial of service [CVE-2011-1527 CVE-2011-1528 CVE-2011-1529]

Fix null pointer dereference and assertion failure conditions that
could cause a denial of service.

ticket: 6982
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@25369 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24967 from trunk

 ------------------------------------------------------------------------
 r24967 | ghudson | 2011-06-13 14:54:33 -0400 (Mon, 13 Jun 2011) | 12 lines

 ticket: 6920
 subject: Fix old-style GSSRPC authentication
 target_version: 1.9.2
 tags: pullup

 r24147 (ticket #6746) made libgssrpc ignorant of the remote address of
 the kadmin socket, even when it's IPv4.  This made old-style GSSAPI
 authentication fail because it uses the wrong channel bindings.  Fix
 this problem by making clnttcp_create() get the remote address from
 the socket using getpeername() if the caller doesn't provide it and
 it's an IPv4 address.

ticket: 6920
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24971 dc483132-0cff-0310-8789-dd5450dbe970

Fix an incorrect shift-and-mask length decoding operation reported by
Russ Allbery.

ticket: 6907
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24958 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24946 from trunk

 ------------------------------------------------------------------------
 r24946 | ghudson | 2011-06-02 21:00:52 -0400 (Thu, 02 Jun 2011) | 12 lines

 ticket: 6917
 subject: Restore fallback non-referral TGS request to same realm
 target_version: 1.9.2
 tags: pullup

 MIT krb5 1.2 and earlier KDCs reject TGS requests if the canonicalize
 bit is set.  Prior to 1.9, we used to handle this by making a
 non-referral fallback request on any error, but the rewrite in 1.9
 mistakenly changed the behavior so that fallback requests are only
 made if the original request used the referral realm and the fallback
 realm is different from the default realm.  Restore the old behavior.

ticket: 6917
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24957 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24945 from trunk

 ------------------------------------------------------------------------
 r24945 | ghudson | 2011-05-26 14:05:49 -0400 (Thu, 26 May 2011) | 12 lines

 ticket: 6916
 subject: Restore krb5_get_credentials caching for referral requests
 target_version: 1.9.2
 tags: pullup

 The krb5_get_credentials() rewrite for IAKERB accidentally omitted the
 final step of restoring the requested realm in the output credentials.
 As a result, referral entries are not cached, and the caller sees the
 actual realm in (*out_creds)->server instead of the referral realm as
 before.  Fix this in complete() by swapping ctx->req_server into
 ctx->reply_creds->server.

ticket: 6916
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24956 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24937 from trunk

 ------------------------------------------------------------------------
 r24937 | ghudson | 2011-05-21 22:08:37 -0400 (Sat, 21 May 2011) | 10 lines

 ticket: 6913
 subject: Fix multiple tl-data updates over iprop
 target_version: 1.9.2
 tags: pullup

 krb5_dbe_update_tl_data() accepts a single read-only tl-data entry,
 but ulog_conv_2dbentry() expects it to process a full list.  Fix
 ulog_conv_2dbentry() to call krb5_db2_update_tl_data() on each entry
 individually, simplifying its memory management in the process.

ticket: 6913
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24955 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24929 from trunk

 ------------------------------------------------------------------------
 r24929 | ghudson | 2011-05-14 10:49:00 -0400 (Sat, 14 May 2011) | 11 lines

 ticket: 6912
 subject: Use hmac-md5 checksum for PA-FOR-USER padata
 target_version: 1.9.2
 tags: pullup

 The MS-S4U documentation specifies that hmac-md5 be used for
 PA-FOR-USER checksums; we were using the mandatory checksum type for
 the key.  Although some other checksum types appear to be allowed by
 Active Directory KDCs, Richard Silverman reports that md5-des is not
 one of them, causing S4U2Self requests to fail for DES keys.

ticket: 6912
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24954 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24917 from trunk

 ------------------------------------------------------------------------
 r24917 | ghudson | 2011-05-09 13:28:07 -0400 (Mon, 09 May 2011) | 10 lines

 ticket: 6908
 subject: Delete sec context properly in gss_krb5_export_lucid_sec_context
 target_version: 1.9.2
 tags: pullup

 Since r21690, gss_krb5_export_lucid_sec_context() has been passing a
 union context to krb5_gss_delete_sec_context(), causing a crash as the
 krb5 routine attempts to interpret a union context structure as a krb5
 GSS context.  Call the mechglue gss_delete_sec_context instead.

ticket: 6908
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24953 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24755 from trunk

 ------------------------------------------------------------------------
 r24755 | ghudson | 2011-03-29 18:44:30 -0400 (Tue, 29 Mar 2011) | 11 lines

 ticket: 6888
 target_version: 1.9.1
 tags: pullup

 In r21175 (on the mskrb branch, merged in r21690) the result codes for
 password quality and other errors were accidentally reversed.  Fix
 them so that password quality errors generate a "soft" failure and
 other errors generate a "hard" failure, as Heimdal and Microsoft do.
 Also recognize KADM5_PASS_Q_GENERIC (added in 1.9) as a password
 quality error.

ticket: 6888
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24952 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24750 from trunk

 ------------------------------------------------------------------------
 r24750 | ghudson | 2011-03-28 19:35:54 -0400 (Mon, 28 Mar 2011) | 11 lines

 ticket: 6886
 target_version: 1.9.1
 tags: pullup

 Remove the weak key checks from the builtin rc4 enc provider.  There
 is no standards support for avoiding RC4 weak keys, so rejecting them
 causes periodic failures.  Heimdal and Microsoft do not check for weak
 keys.  Attacks based on these weak keys are probably thwarted by the
 use of a confounder, and even if not, the reduction in work factor is
 not terribly significant for 128-bit keys.

ticket: 6886
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24951 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24724 from trunk

 ------------------------------------------------------------------------
 r24724 | ghudson | 2011-03-17 18:10:44 -0400 (Thu, 17 Mar 2011) | 9 lines

 ticket: 6885
 subject: KDC memory leak of reply padata for FAST replies
 target_version: 1.9.1
 tags: pullup

 kdc_fast_response_handle_padata() replaces rep->padata, causing the
 old value to be leaked.  As a minimal fix, free the old value of
 rep->padata before replacing it.

ticket: 6885
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24950 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24722 from trunk

 ------------------------------------------------------------------------
 r24722 | ghudson | 2011-03-17 16:02:01 -0400 (Thu, 17 Mar 2011) | 11 lines

 ticket: 6884
 subject: KDC memory leak in FAST error path
 target_version: 1.9.1
 tags: pullup

 When kdc_fast_handle_error() produces a FAST-encoded error, it puts it
 into err->e_data and it never gets freed (since in the non-FAST case,
 err->e_data contains aliased pointers).  Fix this by storing the
 encoded error in an output variable which is placed into the error's
 e_data by the caller and then freed.

ticket: 6884
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24949 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24693 from trunk

 ------------------------------------------------------------------------
 r24693 | tlyu | 2011-03-08 15:53:55 -0500 (Tue, 08 Mar 2011) | 8 lines

 ticket: 6844
 tags: pullup
 target_version: 1.9.1

 Fix a memory leak independently found by Tim Pozdeev and Arlene Berry.

 This change should be pulled up to the 1.8 and 1.7 branches as well.

ticket: 6844
target_version: 1.9.2
version_fixed: 1.9.2
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24948 dc483132-0cff-0310-8789-dd5450dbe970

krb5-1.9.1 postrelease

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24916 dc483132-0cff-0310-8789-dd5450dbe970

krb5-1.9.1 final

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24914 dc483132-0cff-0310-8789-dd5450dbe970

krb5-1.9.1-beta1-postrelease

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24897 dc483132-0cff-0310-8789-dd5450dbe970

Documentation and patchlevel updates for krb5-1.9.1-beta1

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24895 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24878 from trunk

 ------------------------------------------------------------------------
 r24878 | tlyu | 2011-04-13 14:43:37 -0400 (Wed, 13 Apr 2011) | 11 lines

 ticket: 6899
 tags: pullup
 target_version: 1.9.1

 Fix the sole case in process_chpw_request() where a return could occur
 without allocating the data pointer in the response.  This prevents a
 later free() of an invalid pointer in kill_tcp_or_rpc_connection().

 Also initialize rep->data to NULL in process_chpw_request() and clean
 up *response in dispatch() as an additional precaution.

ticket: 6899
version_fixed: 1.9.1
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24879 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24705 from trunk

 ------------------------------------------------------------------------
 r24705 | tlyu | 2011-03-15 17:47:19 -0400 (Tue, 15 Mar 2011) | 8 lines

 ticket: 6881
 subject: KDC double-free when PKINIT enabled [MITKRB5-SA-2011-003 CVE-2011-0284]
 tags: pullup
 target_version: 1.9.1

 Fix a double-free condition in the KDC that can occur during an
 AS-REQ when PKINIT is enabled.

ticket: 6881
version_fixed: 1.9.1
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24706 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24667 from trunk

 ------------------------------------------------------------------------
 r24667 | ghudson | 2011-02-26 21:35:04 -0500 (Sat, 26 Feb 2011) | 8 lines

 ticket: 6875
 tags: pullup
 target_version: 1.9.1

 Make sure ulog_map() is invoked whenever we open the database in
 kdb5_util.  Fixes all of the master key rollover commands in the
 presence of iprop.  Reported by kacarstensen@csupomona.edu.

ticket: 6875
version_fixed: 1.9.1

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24674 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24646 from trunk

 ------------------------------------------------------------------------
 r24646 | ghudson | 2011-02-22 16:06:23 -0500 (Tue, 22 Feb 2011) | 8 lines

 ticket: 6800
 target_version: 1.9.1
 tags: pullup

 Fix a memory leak introduced in r23926 where k_cred was not freed on
 successful return from kg_new_connection().  Reported by Julien
 Chaffraix.

ticket: 6800
version_fixed: 1.9.1
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24649 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24644 from trunk

 ------------------------------------------------------------------------
 r24644 | tlyu | 2011-02-22 12:08:54 -0500 (Tue, 22 Feb 2011) | 6 lines

 ticket: 6871
 tags: pullup
 target_version: 1.9.1

 Delete kinit_kdb.o in make clean.

ticket: 6871
version_fixed: 1.9.1
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24648 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24640 from trunk

 ------------------------------------------------------------------------
 r24640 | ghudson | 2011-02-16 18:34:37 -0500 (Wed, 16 Feb 2011) | 14 lines

 ticket: 6870
 subject: Don't reject AP-REQs based on PACs
 target_version: 1.9.1
 tags: pullup

 Experience has shown that it was a mistake to fail AP-REQ verification
 based on failure to verify the signature of PAC authdata contained in
 the ticket.  We've had two rounds of interoperability issues with the
 hmac-md5 checksum code, an interoperability issue OSX generating
 unsigned PACs, and another problem where PACs are copied by older KDCs
 from a cross-realm TGT into the service ticket.  If a PAC signature
 cannot be verified, just don't mark it as verified and continue on
 with the AP exchange.

ticket: 6870
version_fixed: 1.9.1
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24647 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24639, r24641 from trunk

 ------------------------------------------------------------------------
 r24641 | ghudson | 2011-02-18 07:06:57 -0800 (Fri, 18 Feb 2011) | 7 lines

 ticket: 6869

 Fix a conceptual bug in r24639: the intermediate key container length
 should be the hash's output size, not its block size.  (The bug did
 not show up in testing because it is harmless in practice; MD5 has a
 larger block size than output size.)

 ------------------------------------------------------------------------
 r24639 | ghudson | 2011-02-16 14:52:41 -0800 (Wed, 16 Feb 2011) | 11 lines

 ticket: 6869
 subject: hmac-md5 checksum doesn't work with DES keys
 target_version: 1.9
 tags: pullup

 krb5int_hmacmd5_checksum calculates an intermediate key using an HMAC.
 The container for this key should be allocated using the HMAC output
 size (which is the hash blocksize), not the original key size.  This
 bug was causing the function to fail with DES keys, which can be used
 with hmac-md5 in PAC signatures.

ticket: 6869
target_version: 1.9.1
version_fixed: 1.9.1
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24643 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24634 from trunk

 ------------------------------------------------------------------------
 r24634 | ghudson | 2011-02-13 11:12:36 -0800 (Sun, 13 Feb 2011) | 10 lines

 ticket: 6867
 subject: Trace logging file descriptor leak
 target_version: 1.9.1
 tags: pullup

 File descriptors created for trace logging were never being closed.
 With short-lived contexts this leak would eventually overflow the
 process's file table.  Correct this oversight by closing the file
 descriptor in file_trace_cb before freeing its container.

ticket: 6867
version_fixed: 1.9.1
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24642 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24618 from trunk

 ------------------------------------------------------------------------
 r24618 | ghudson | 2011-02-08 17:31:10 -0500 (Tue, 08 Feb 2011) | 8 lines

 ticket: 6856
 subject: Fix seg faulting trace log message for use of fallback realm
 target_version: 1.9.1
 tags: pullup

 The call to TRACE_TKT_CREDS_FALLBACK in get_creds.c was supplying the
 wrong argument, causing a crash.

ticket: 6856
version_fixed: 1.9.1
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24629 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24622 from trunk

 ------------------------------------------------------------------------
 r24622 | tlyu | 2011-02-09 15:25:08 -0500 (Wed, 09 Feb 2011) | 10 lines

 ticket: 6860
 subject: KDC denial of service attacks [MITKRB5-SA-2011-002 CVE-2011-0281 CVE-2011-0282 CVE-2011-0283]
 tags: pullup
 target_version: 1.9.1

 [CVE-2011-0281 CVE-2011-0282] Fix some LDAP back end principal name
 handling that could cause the KDC to hang or crash.

 [CVE-2011-0283] Fix a KDC null pointer dereference introduced in krb5-1.9.

ticket: 6860
version_fixed: 1.9.1
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24624 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24621 from trunk

 ------------------------------------------------------------------------
 r24621 | tlyu | 2011-02-09 15:25:03 -0500 (Wed, 09 Feb 2011) | 8 lines

 ticket: 6859
 subject: kpropd denial of service [MITKRB5-SA-2011-001 CVE-2010-4022]
 tags: pullup
 target_version: 1.9.1

 When operating in standalone mode and not doing iprop, don't return
 from do_standalone() if the child exits with abnormal status.

ticket: 6859
status: resolved
version_fixed: 1.9.1

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24623 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24603 from trunk

 ------------------------------------------------------------------------
 r24603 | ghudson | 2011-01-24 19:23:48 -0500 (Mon, 24 Jan 2011) | 15 lines

 ticket: 6852
 subject: Make gss_krb5_set_allowable_enctypes work for the acceptor
 target_version: 1.9.1
 tags: pullup

 With the addition of enctype negotiation in 1.7, a gss-krb5 acceptor
 can choose an enctype for the acceptor subkey other than the one in
 the keytab.  If the resulting security context will be exported and
 re-imported by another gss-krb5 implementation (such as one in the
 kernel), the acceptor needs a way to restrict the set of negotiated
 enctypes to those supported by the other implementation.  We had that
 functionality for the initiator already in the form of
 gss_krb5_set_allowable_enctypes; this change makes it work for the
 acceptor as well.

ticket: 6852
version_fixed: 1.9.1
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24610 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24601 from trunk

 ------------------------------------------------------------------------
 r24601 | ghudson | 2011-01-21 00:00:53 -0500 (Fri, 21 Jan 2011) | 8 lines

 ticket: 6849
 subject: Fix edge case in LDAP last_admin_unlock processing
 target_version: 1.9.1
 tags: pullup

 In the LDAP KDB module, set appropriate flags when zeroing
 entry->fail_auth_count due to an administrative unlock.

ticket: 6849
version_fixed: 1.9.1
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24609 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24525 from trunk

 ------------------------------------------------------------------------
 r24525 | ghudson | 2010-11-21 12:35:49 -0500 (Sun, 21 Nov 2010) | 4 lines

 Suppress building camellia-gen in "make check" for now (it has a build
 issue on Solaris which will go away when Camellia support becomes
 unconditional).

ticket: 6847
version_fixed: 1.9.1
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24608 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24590 from trunk

 ------------------------------------------------------------------------
 r24590 | ghudson | 2010-12-28 13:27:17 -0500 (Tue, 28 Dec 2010) | 8 lines

 ticket: 6675
 target_version: 1.9.1
 tags: pullup

 Don't attempt to serialize a NULL authdata context when serializing a
 GSSAPI context (most often seen with initiator contexts).  Patch from
 aberry@likewise.com.

ticket: 6675
version_fixed: 1.9.1
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24607 dc483132-0cff-0310-8789-dd5450dbe970

krb5-1.9-postrelease

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24588 dc483132-0cff-0310-8789-dd5450dbe970

README and patchlevel.h for krb5-1.9

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24586 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24584 from trunk

 ------------------------------------------------------------------------
 r24584 | tlyu | 2010-12-20 17:52:35 -0500 (Mon, 20 Dec 2010) | 6 lines

 ticket: 6794
 tags: pullup
 target_version: 1.9

 Document rdns libdefault setting.

ticket: 6794
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24585 dc483132-0cff-0310-8789-dd5450dbe970

Add missing note about SA-2010-007

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24582 dc483132-0cff-0310-8789-dd5450dbe970

krb5-1.9-beta3-postrelease

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24580 dc483132-0cff-0310-8789-dd5450dbe970

README and patchlevel.h for krb5-1.9-beta3

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24578 dc483132-0cff-0310-8789-dd5450dbe970

make depend

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24577 dc483132-0cff-0310-8789-dd5450dbe970

update acknowledgments

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24576 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24568 from trunk

 ------------------------------------------------------------------------
 r24568 | ghudson | 2010-12-14 13:46:46 -0500 (Tue, 14 Dec 2010) | 10 lines

 ticket: 6842
 subject: Ensure time() is prototyped in g_accept_sec_context.c
 tags: pullup
 target_version: 1.9

 r22736 added a call to time() in g_accept_sec_context.c.  Include
 <time.h> to ensure that this call is correctly prototyped.  Previously
 <time.h> was only included implicitly through <pthread.h>, which
 doesn't apply when thread support is disabled.

ticket: 6842
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24573 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24567 from trunk

 ------------------------------------------------------------------------
 r24567 | tlyu | 2010-12-14 12:34:48 -0500 (Tue, 14 Dec 2010) | 7 lines

 ticket: 6841
 subject: memory leak in changepw.c
 tags: pullup
 target_version: 1.9

 Apply patch from Marcus Watts to avoid a memory leak in changepw.c.

ticket: 6841
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24572 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24565 from trunk

 ------------------------------------------------------------------------
 r24565 | tlyu | 2010-12-14 12:24:21 -0500 (Tue, 14 Dec 2010) | 7 lines

 ticket: 6840
 subject: typo in plugin-related error message
 tags: pullup
 target_version: 1.9

 Apply patch from Marcus Watts to fix error message typo.

ticket: 6840
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24571 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24566 from trunk

 ------------------------------------------------------------------------
 r24566 | ghudson | 2010-12-14 12:28:38 -0500 (Tue, 14 Dec 2010) | 9 lines

 ticket: 6838
 tags: pullups
 target_version: 1.9

 Fix a regression in the client-side ticket renewal code where KDC
 options were not folded into the renewal request (most notably, the
 KDC_OPT_RENEWABLE flag), so we didn't request renewable renewed
 tickets.  Add a simple test case for ticket renewal.

ticket: 6838
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24570 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24564 from trunk

 ------------------------------------------------------------------------
 r24564 | tlyu | 2010-12-09 20:06:26 -0500 (Thu, 09 Dec 2010) | 18 lines

 ticket: 6839
 subject: handle MS PACs that lack server checksum
 target_version 1.9
 tags: pullup

 Apple Mac OS X Server's Open Directory KDC issues MS PAC like
 authorization data that lacks a server checksum.  If this checksum is
 missing, mark the PAC as unverfied, but allow
 krb5int_authdata_verify() to succeed.  Filter out the unverified PAC
 in subsequent calls to krb5_authdata_get_attribute().  Add trace
 points to indicate where this behavior occurs.

 Thanks to Helmut Grohne for help with analysis.  This bug is also
 Debian Bug #604925:
 http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=604925

 This change should also get backported to krb5-1.8.x.

ticket: 6839
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24569 dc483132-0cff-0310-8789-dd5450dbe970

krb5-1.9-beta2-postrelease

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24559 dc483132-0cff-0310-8789-dd5450dbe970

README and patchlevel.h for krb5-1.9-beta2

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24557 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24555 from trunk

 ------------------------------------------------------------------------
 r24555 | tlyu | 2010-12-03 07:34:53 -0500 (Fri, 03 Dec 2010) | 6 lines

 ticket: 1219
 target_version: 1.9
 tags: pullup

 Test for key rollover for TGT, including purging old keys.

ticket: 1219
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24556 dc483132-0cff-0310-8789-dd5450dbe970

Fix svn:eol-style properties

ticket: 6826
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24554 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24469, r24530, r24533, r24534, r24535, r24537 from trunk

 ------------------------------------------------------------------------
 r24537 | ghudson | 2010-11-30 12:46:10 -0500 (Tue, 30 Nov 2010) | 5 lines

 ticket: 6826

 Install gssapi_ext.h on Windows.  Include gssapi_ext.h in the header
 files considered by def-check.pl in verify-calling-conventions-gssapi.

 ------------------------------------------------------------------------
 r24535 | ghudson | 2010-11-26 11:37:14 -0500 (Fri, 26 Nov 2010) | 5 lines

 ticket: 6826

 Supply static ordinals for new symbols in gssapi32.def and krb5_32.def,
 for consistency with KFW 3.x.

 ------------------------------------------------------------------------
 r24534 | ghudson | 2010-11-25 15:34:06 -0500 (Thu, 25 Nov 2010) | 5 lines

 ticket: 6826

 Fix how gssapi.h is rebuilt on Windows; accidentally omitted from
 r24533.

 ------------------------------------------------------------------------
 r24533 | ghudson | 2010-11-25 15:28:30 -0500 (Thu, 25 Nov 2010) | 29 lines

 ticket: 6826
 subject: Fix Windows build
 target_version: 1.9
 tags: pullup

 Repair the Windows build.  Tested with the prepare-on-Unix method.
 Some specific changes include:

 * Removed the IPC finalizer (no longer used after r20787) from
   ccapi/lib/ccapi_ipc.c, as it was creating a difficult dependency
   chain for the pingtest build in ccapi/test.  Also updated pingtest
   to use the k5_ipc_stream interfaces since cci_stream is gone.

 * Reverted the apparently non-functional r20277.

 * klist -V prints just "Kerberos for Windows", since it has no access
   to PACKAGE_NAME and PACKAGE_VERSION from autoconf.  This should be
   addressed correctly.

 * krb5, telnet, gssftp, and NIM are removed from the build.

 * Some files had CRLFs; these were replaced with LFs and the
   svn:eol-style property set on the files.  Otherwise the CRLFs became
   CRCRLFs after the zip transfer.

 * Windows does not have opendir/readdir, so added Windows code to
   prof_parse.c for includedir.  Probable fodder for a libkrb5support
   portability shim.

 ------------------------------------------------------------------------
 r24530 | ghudson | 2010-11-23 13:50:12 -0500 (Tue, 23 Nov 2010) | 3 lines

 Set svn:eol-style on some Windows files and remove the CRs from their
 repository representations.

 ------------------------------------------------------------------------
 r24469 | ghudson | 2010-10-21 20:01:56 -0400 (Thu, 21 Oct 2010) | 3 lines

 Make it possible to override CRYPTO_IMPL_CFLAGS and CRYPTO_IMPL_LIBS at
 make time.

ticket: 6826
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24553 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24550 from trunk

 ------------------------------------------------------------------------
 r24550 | ghudson | 2010-12-01 17:36:38 -0500 (Wed, 01 Dec 2010) | 4 lines

 ticket: 6829

 Correct typo in admin documentation for restrict_anonymous_to_tgt.

ticket: 6829
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24552 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24539 from trunk

 ------------------------------------------------------------------------
 r24539 | hartmans | 2010-11-30 17:46:54 -0500 (Tue, 30 Nov 2010) | 7 lines

 ticket: 6828
 Subject: Install kadm5_hook_plugin.h
 target_version: 1.9
 tags: pullup

 Install the kadm5 hook plugin header

ticket: 6828
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24551 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24547 from trunk

 ------------------------------------------------------------------------
 r24547 | ghudson | 2010-12-01 15:01:46 -0500 (Wed, 01 Dec 2010) | 10 lines

 ticket: 6829
 subject: Implement restrict_anonymous_to_tgt realm flag
 target_version: 1.9
 tags: pullup

 Implement a new realm flag to reject ticket requests from anonymous
 principals to any principal other than the local TGT.  Allows FAST to
 be deployed using anonymous tickets as armor in realms where the set
 of authenticatable users must be constrained.

ticket: 6829
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24549 dc483132-0cff-0310-8789-dd5450dbe970

Apply ported patch

 If kdb5_util load (without -update) fails--say, due to an invalid dump
 file--it calls krb5_db_destroy to destroy the temporary DB.
 Unfortunately, this results in the destruction of the real DB instead.

 Luckily, this bug only applies to krb5 1.9, which hasn't been released
 yet.  In krb5 1.8 the destroy operation fails before it does any damage.

ticket: 6815
version_fixed: 1.9

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24548 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24529, r24532 from trunk

 ------------------------------------------------------------------------
 r24532 | tlyu | 2010-11-23 18:51:50 -0500 (Tue, 23 Nov 2010) | 6 lines

 ticket: 6825

 Update krb5_gic_opt_private and related code to reflect the change of
 krb5_expire_callback_func from a function typedef to a function
 pointer typedef.  This was causing segfaults.

 ------------------------------------------------------------------------
 r24529 | ghudson | 2010-11-22 23:50:40 -0500 (Mon, 22 Nov 2010) | 9 lines

 ticket: 6825
 subject: Add missing KRB5_CALLCONV in callback declaration
 target_version: 1.9
 tags: pullup

 krb5_get_init_creds_opt_set_expire_callback was correctly tagged with
 KRB5_CALLCONV but the corresponding callback type was not.  Add that
 in.

ticket: 6825
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24546 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24528 from trunk

 ------------------------------------------------------------------------
 r24528 | ghudson | 2010-11-22 23:41:08 -0500 (Mon, 22 Nov 2010) | 7 lines

 ticket: 6824
 subject: Export krb5_tkt_creds_get
 target_version: 1.9
 tags: pullup

 krb5_tkt_creds_get was overlooked in the export list; add it.

ticket: 6824
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24545 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24526, r24527 from trunk

 ------------------------------------------------------------------------
 r24527 | ghudson | 2010-11-21 22:58:15 -0500 (Sun, 21 Nov 2010) | 4 lines

 ticket: 6823

 Correct typo in r24526.

 ------------------------------------------------------------------------
 r24526 | hartmans | 2010-11-21 22:33:22 -0500 (Sun, 21 Nov 2010) | 9 lines

 ticket: 6823
 subject: getdate.y: declare yyparse
 target_version: 1.9
 tags: pullup

 At least on lucid, byacc doesn't declare yyparse, which creates
 problems because lucid treats calls to unprototyped functions as
 errors.

ticket: 6823
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24544 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24524 from trunk

 ------------------------------------------------------------------------
 r24524 | ghudson | 2010-11-19 19:31:46 -0500 (Fri, 19 Nov 2010) | 8 lines

 ticket: 6822
 subject: Implement Camellia-CTS-CMAC instead of Camellia-CCM
 target_verion: 1.9
 tags: pullup

 Replace the Camellia-CCM enctypes with Camellia-CTS-CMAC.  Still not
 compiled in by default since we don't have enctype assignments yet.

ticket: 6822
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24543 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24519 from trunk

 ------------------------------------------------------------------------
 r24519 | ghudson | 2010-11-15 21:54:26 -0500 (Mon, 15 Nov 2010) | 8 lines

 ticket: 6820
 subject: Read KDC profile settings in kpropd
 target_version: 1.9
 tags: pullup

 kpropd can modify the KDB with ulog_replay(), so it should read the
 KDC profile settings in case the KDB configuration is in there.

ticket: 6820
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24542 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24518 from trunk

 ------------------------------------------------------------------------
 r24518 | ghudson | 2010-11-15 21:30:16 -0500 (Mon, 15 Nov 2010) | 12 lines

 ticket: 6819
 subject: Handle referral realm in kprop client principal
 target_version: 1.9
 tags: pullup

 kprop uses krb5_sname_to_principal() to determine its client
 principal.  If the local hostname cannot be mapped to a realm based on
 the profile's domain_realm section, krb5_sname_to_principal() will (as
 of 1.6) return a principal with the referral realm (""), which does
 not work in a client principal.  Handle this by substituting the
 default realm.

ticket: 6819
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24541 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24538 from trunk

 ------------------------------------------------------------------------
 r24538 | ghudson | 2010-11-30 16:20:49 -0500 (Tue, 30 Nov 2010) | 27 lines

 ticket: 6827
 subject: SA-2010-007 Checksum vulnerabilities (CVE-2010-1324 and others)

 Fix multiple checksum handling bugs, as described in:
   CVE-2010-1324
   CVE-2010-1323
   CVE-2010-4020
   CVE-2010-4021

 * Return the correct (keyed) checksums as the mandatory checksum type
   for DES enctypes.
 * Restrict simplified-profile checksums to their corresponding etypes.
 * Add internal checks to reduce the risk of stream ciphers being used
   with simplified-profile key derivation or other algorithms relying
   on the block encryption primitive.
 * Use the mandatory checksum type for the PKINIT KDC signature,
   instead of the first-listed keyed checksum.
 * Use the mandatory checksum type when sending KRB-SAFE messages by
   default, instead of the first-listed keyed checksum.
 * Use the mandatory checksum type for the t_kperf test program.
 * Use the mandatory checksum type (without additional logic) for the
   FAST request checksum.
 * Preserve the existing checksum choices (unkeyed checksums for DES
   enctypes) for the authenticator checksum, using explicit logic.
 * Ensure that SAM checksums received from the KDC are keyed.
 * Ensure that PAC checksums are keyed.

ticket: 6827
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24540 dc483132-0cff-0310-8789-dd5450dbe970

krb5-1.9-beta1-postrelease

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24504 dc483132-0cff-0310-8789-dd5450dbe970

README and patchlevel.h for krb5-1.9-beta1

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24502 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24488 from trunk

 ------------------------------------------------------------------------
 r24488 | ghudson | 2010-10-27 13:05:05 -0400 (Wed, 27 Oct 2010) | 5 lines

 ticket: 6812

 Don't fail out from krb5_get_credentials() if we can't store a ticket
 into the ccache.

ticket: 6812
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24501 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24486 from trunk

 ------------------------------------------------------------------------
 r24486 | ghudson | 2010-10-26 13:34:41 -0400 (Tue, 26 Oct 2010) | 8 lines

 ticket: 6811
 subject: Mark Camellia-CCM code as experimental
 target_version: 1.9
 tags: pullup

 Add a comment noting that the Camellia-CCM code in 1.9 is
 experimental.

ticket: 6811
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24500 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24481 from trunk

 ------------------------------------------------------------------------
 r24481 | ghudson | 2010-10-25 16:17:54 -0400 (Mon, 25 Oct 2010) | 7 lines

 ticket: 6796
 target_version: 1.9
 tags: pullup

 Use safer output parameter handling in
 krb5_gss_acquire_cred_impersonate_name and its subsidiary helpers.

ticket: 6796
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24499 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24483 from trunk

 ------------------------------------------------------------------------
 r24483 | ghudson | 2010-10-26 10:17:38 -0400 (Tue, 26 Oct 2010) | 8 lines

 ticket: 6809
 target_version: 1.9
 tags: pullup

 Set *conf_state on successful return from
 gss_krb5int_make_seal_token_v3_iov, fixing a case where it wasn't
 always set by gss_wrap_iov.  Patch from aberry@likewise.com.

ticket: 6809
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24498 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24482 from trunk

 ------------------------------------------------------------------------
 r24482 | ghudson | 2010-10-25 17:55:54 -0400 (Mon, 25 Oct 2010) | 8 lines

 ticket: 6787
 target_version: 1.9
 tags: pullup

 When we create a temporary memory ccache for use within a
 krb5_gss_cred_id_rec, set a flag to indicate that the ccache should be
 destroyed rather than closed.  Patch from aberry@likewise.com.

ticket: 6787
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24497 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24480 from trunk

 ------------------------------------------------------------------------
 r24480 | ghudson | 2010-10-25 15:37:03 -0400 (Mon, 25 Oct 2010) | 8 lines

 ticket: 6793
 target_version: 1.9
 tags: pullup

 In acquire_init_cred in the GSS krb5 mech, don't intern cred->name,
 since it's not used as an output parameter.  Fixes a memory leak.
 Reported by aberry@likewise.com.

ticket: 6793
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24496 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24470 from trunk

 ------------------------------------------------------------------------
 r24470 | ghudson | 2010-10-22 20:38:17 -0400 (Fri, 22 Oct 2010) | 10 lines

 ticket: 6810
 subject: Better libk5crypto NSS fork safety
 target_version: 1.9
 tags: pullup

 Use SECMOD_RestartModules() from the forthcoming NSS 3.12.9 release to
 make the libk5crypto back end work after a fork.  Add a test program
 to exercise fork detection in the NSS back end.  Add a configure-time
 version check to ensure that we're using NSS 3.12.9 or later.

ticket: 6810
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24495 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24467 from trunk

 ------------------------------------------------------------------------
 r24467 | hartmans | 2010-10-19 15:50:48 -0400 (Tue, 19 Oct 2010) | 8 lines

 ticket: 6807
 subject: SecurID build support
 target_version: 1.9
 tags: pullup

 Integrate SecurID into the build if libaceclnt is found.
 Add a README file with an example of how to build it.

ticket: 6807
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24494 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24466 from trunk

 ------------------------------------------------------------------------
 r24466 | hartmans | 2010-10-19 15:50:42 -0400 (Tue, 19 Oct 2010) | 8 lines

 ticket: 6806
 subject: securID error handling fix
 target_version: 1.9
 tags: pullup

 In porting forward, I incorrectly used krb5_set_error_message instead of com_err.
 This commit reverts that change.

ticket: 6806
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24493 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24465 from trunk

 ------------------------------------------------------------------------
 r24465 | hartmans | 2010-10-19 15:50:37 -0400 (Tue, 19 Oct 2010) | 19 lines

 ticket: 6805
 subject: securID code fixes
 target_version: 1.9
 tags: pullup

 Fixes to get securID preauth plugin working. A separate patch will
 address error handling and build issues.

 * Permit a preauth plugin to return KRB5KDC_ERR_PREAUTH_REQUIRED from
   the verify entry point.

 * If verify_securid2 fails, save the return value and return that
   rather than success after dealing with encoding the out_edata

 * Use the client key not the securid principal key for the sam
   checksum

 * indicate that securID is hardware authentication

ticket: 6805
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24492 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24464 from trunk

 ------------------------------------------------------------------------
 r24464 | ghudson | 2010-10-19 15:08:38 -0400 (Tue, 19 Oct 2010) | 9 lines

 ticket: 6804
 subject: Remove KDC replay cache
 target_version: 1.9
 tags: pullup

 Now that SAM1 support has been removed, the KDC does not need a replay
 replay cache.  Remove all code within USE_RCACHE and associated support.
 Rename --disable-kdc-replay-cache to --disable-kdc-lookaside-cache.

ticket: 6804
version_fixed: 1.9
status: resolved

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24491 dc483132-0cff-0310-8789-dd5450dbe970

Update README and patchlevel.h

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24490 dc483132-0cff-0310-8789-dd5450dbe970

pull up r24462 from trunk

 ------------------------------------------------------------------------
 r24462 | tlyu | 2010-10-18 18:52:28 -0400 (Mon, 18 Oct 2010) | 5 lines

 ticket: 6802

 Adjust copyright.texinfo to fix some TeX output issues.  Also do minor
 cleanup.

ticket: 6802

git-svn-id: svn://anonsvn.mit.edu/krb5/branches/krb5-1-9@24463 dc483132-0cff-0310-8789-dd5450dbe970