Fix protocol downgrade bug in case of fragmented packets

CVE-2014-3511

Reviewed-by: Emilia Käsper <emilia@openssl.org>
Reviewed-by: Bodo Möller <bodo@openssl.org>

Remove some duplicate DTLS code.

In a couple of functions, a sequence number would be calculated twice.

Additionally, in |dtls1_process_out_of_seq_message|, we know that
|frag_len| <= |msg_hdr->msg_len| so the later tests for |frag_len <
msg_hdr->msg_len| can be more clearly written as |frag_len !=
msg_hdr->msg_len|, since that's the only remaining case.

Reviewed-by: Matt Caswell <matt@openssl.org>
Reviewed-by: Emilia Käsper <emilia@openssl.org>

Applying same fix as in dtls1_process_out_of_seq_message. A truncated DTLS fragment would cause *ok to be clear, but the return value would still be the number of bytes read.

Problem identified by Emilia Käsper, based on previous issue/patch by Adam
Langley.

Reviewed-by: Emilia Käsper <emilia@openssl.org>

Fix return code for truncated DTLS fragment.

Previously, a truncated DTLS fragment in
|dtls1_process_out_of_seq_message| would cause *ok to be cleared, but
the return value would still be the number of bytes read. This would
cause |dtls1_get_message| not to consider it an error and it would
continue processing as normal until the calling function noticed that
*ok was zero.

I can't see an exploit here because |dtls1_get_message| uses
|s->init_num| as the length, which will always be zero from what I can
see.

Reviewed-by: Matt Caswell <matt@openssl.org>
Reviewed-by: Emilia Käsper <emilia@openssl.org>

Fix memory leak from zero-length DTLS fragments.

The |pqueue_insert| function can fail if one attempts to insert a
duplicate sequence number. When handling a fragment of an out of
sequence message, |dtls1_process_out_of_seq_message| would not call
|dtls1_reassemble_fragment| if the fragment's length was zero. It would
then allocate a fresh fragment and attempt to insert it, but ignore the
return value, leaking the fragment.

This allows an attacker to exhaust the memory of a DTLS peer.

Fixes CVE-2014-3507

Reviewed-by: Matt Caswell <matt@openssl.org>
Reviewed-by: Emilia Käsper <emilia@openssl.org>

Fix DTLS handshake message size checks.

In |dtls1_reassemble_fragment|, the value of
|msg_hdr->frag_off+frag_len| was being checked against the maximum
handshake message size, but then |msg_len| bytes were allocated for the
fragment buffer. This means that so long as the fragment was within the
allowed size, the pending handshake message could consume 16MB + 2MB
(for the reassembly bitmap). Approx 10 outstanding handshake messages
are allowed, meaning that an attacker could consume ~180MB per DTLS
connection.

In the non-fragmented path (in |dtls1_process_out_of_seq_message|), no
check was applied.

Fixes CVE-2014-3506

Wholly based on patch by Adam Langley with one minor amendment.

Reviewed-by: Emilia Käsper <emilia@openssl.org>

Added comment for the frag->reassembly == NULL case as per feedback from Emilia

Reviewed-by: Emilia Käsper <emilia@openssl.org>

Avoid double free when processing DTLS packets.

The |item| variable, in both of these cases, may contain a pointer to a
|pitem| structure within |s->d1->buffered_messages|. It was being freed
in the error case while still being in |buffered_messages|. When the
error later caused the |SSL*| to be destroyed, the item would be double
freed.

Thanks to Wah-Teh Chang for spotting that the fix in 1632ef74 was
inconsistent with the other error paths (but correct).

Fixes CVE-2014-3505

Reviewed-by: Matt Caswell <matt@openssl.org>
Reviewed-by: Emilia Käsper <emilia@openssl.org>

Update $default_depflags to match current defaults.

Sync with clean-up 1.0.2 CHANGES file.
(If a change is already present in 1.0.1f or 1.0.1h,
don't list it again under changes between 1.0.1h and 1.0.2.)

Sync with current 1.0.2 CHANGES file.

Simplify and fix ec_GFp_simple_points_make_affine
(which didn't always handle value 0 correctly).

Reviewed-by: emilia@openssl.org

Add conditional unit testing interface.

Don't call internal functions directly call them through
SSL_test_functions(). This also makes unit testing work on
Windows and platforms that don't export internal functions
from shared libraries.

By default unit testing is not enabled: it requires the compile
time option "enable-unit-test".
Reviewed-by: Geoff Thorpe <geoff@openssl.org>

Don't call setenv in gost2814789t.c

The call to setenv in gost2814789t.c is not portable and may
not reflect the location of the GOST ENGINE on all platforms anyway.
Instead set OPENSSL_ENGINES in test/Makefile
Reviewed-by: Geoff Thorpe <geoff@openssl.org>

Remove demos/tunala

This has been unmaintained for a long time. If it's still of interest
to anyone, it can be obtained easily enough by reverting this commit.
(It could join other demo code in some other repository, perhaps.) In
any case we don't want it taking up space in the baseline source
package, so <snip>.

Signed-off-by: Geoff Thorpe <geoff@openssl.org>

CHANGES: mention new platforms.

Reviewed-by: Dr. Stephen Henson <steve@openssl.org>

"EC_POINT_invert" was checking "dbl" function pointer instead of "invert".

PR#2569

Reviewed-by: Rich Salz <rsalz@openssl.org>

Remove old unused and unmaintained demonstration code.

Reviewed-by: Dr. Stephen Henson <steve@openssl.org>

sha1-ppc.pl: shave off one cycle from BODY_20_39
and improve performance by 10% on POWER[78].

Reviewed-by: Kurt Roeckx <kurt@openssl.org>

Minor documentation update removing "really" and a
statement of opinion rather than a fact.

Reviewed-by: Dr. Stephen Henson <steve@openssl.org>
Reviewed-by: Rich Salz <rsalz@openssl.org>

Add test header, sync ordinals with 1.0.2

Reviewed-by: Tim Hudson <tjh@openssl.org>

Engage GHASH for PowerISA 2.0.7.

[and split ppccap.c to ppccap.c and ppc_arch.h]

Reviewed-by: Kurt Roeckx <kurt@openssl.org>
Reviewed-by: Tim Hudson <tjh@openssl.org>

Add GHASH for PowerISA 2.0.7.

Reviewed-by: Tim Hudson <tjh@openssl.org>

Windows build fixes.

Add cmac.h to mkdef.pl
Remove ENGINE_load_rsax from engine.h: no longer built.
Update ordinals
Reviewed-by: Tim Hudson <tjh@openssl.org>

Fix documentation for RSA_set_method(3)

PR#1675
Reviewed-by: Matt Caswell <matt@openssl.org>

Check the test registry size during add_test()

Reviewed-by: Tim Hudson <tjh@openssl.org>

Update heartbeat_test #includes

ssl/ssl_locl.h now comes first to ensure that it will compile standalone.
test/testutil.h is considered to be in the same directory as the test file,
since the test file will be linked into test/ and built there.

Reviewed-by: Tim Hudson <tjh@openssl.org>

Use testutil registry in heartbeat_test

Reviewed-by: Tim Hudson <tjh@openssl.org>

test/testutil.c test registry functions.

These help standardize the structure of main() and result reporting.

Reviewed-by: Tim Hudson <tjh@openssl.org>

RFC 5649 support.

Add support for RFC5649 key wrapping with padding.

Add RFC5649 tests to evptests.txt

Based on PR#3434 contribution by Petr Spacek <pspacek@redhat.com>.

EVP support and minor changes added by Stephen Henson.

Doxygen comment block updates by Tim Hudson.

Reviewed-by: Tim Hudson <tjh@openssl.org>

Make *Final work for key wrap again.

Reviewed-by: Tim Hudson <tjh@openssl.org>

Sanity check lengths for AES wrap algorithm.

Reviewed-by: Tim Hudson <tjh@openssl.org>

Fix typo, add reference.

PR#3456
Reviewed-by: Stephen Henson <steve@openssl.org>
Reviewed-by: Matt Caswell <matt@openssl.org>

Disabled XTS mode in enc utility as it is not supported

PR#3442

Reviewed-by: Tim Hudson <tjh@openssl.org>
Reviewed-by: Rich Salz <rsalz@openssl.org>

Revert "Add GHASH for PowerISA 2.07."

This reverts commit 927f2e5dea1da17bcc2c3d2baf7258318b57515c.

Revert "Engage GHASH for PowerISA 2.07."

This reverts commit 14aaf883d93fb2e321ef1fe25f687fb7b62ef8fe.

Engage GHASH for PowerISA 2.07.

Add GHASH for PowerISA 2.07.

Add Matt Caswell's fingerprint, and general update on the fingerprints file to bring it up to date

Reviewed-by: Tim Hudson <tjh@openssl.org>

Clarify -Verify and PSK.

PR#3452

Fix DTLS certificate requesting code.

Use same logic when determining when to expect a client
certificate for both TLS and DTLS.

PR#3452

Don't allow -www etc options with DTLS.

The options which emulate a web server don't make sense when doing DTLS.
Exit with an error if an attempt is made to use them.

PR#3453

Merge branch 'master' of git.openssl.org:openssl

Use case insensitive compare for servername.

PR#3445

document -nextprotoneg option in man pages

Add description of the option to advertise support of
Next Protocol Negotiation extension (-nextprotoneg) to
man pages of s_client and s_server.

PR#3444

Use more common name for GOST key exchange.

Fix typo.

Add tags/TAGS; approved by tjh

Fixed valgrind complaint due to BN_consttime_swap reading uninitialised data.
This is actually ok for this function, but initialised to zero anyway if
PURIFY defined.

This does have the impact of masking any *real* unitialised data reads in bn though.

Patch based on approach suggested by Rich Salz.

PR#3415

Add names of GOST algorithms.

PR#3440

* crypto/ui/ui_lib.c: misplaced brace in switch statement.
  Detected by dcruette@qualitesys.com

Don't clean up uninitialised EVP_CIPHER_CTX on error (CID 483259).

Fix memory leak in BIO_free if there is no destroy function.
Based on an original patch by Neitrino Photonov <neitrinoph@gmail.com>

PR#3439

x86_64 assembly pack: improve masm support.

Please Clang's sanitizer, addendum.

Please Clang's sanitizer.

PR: #3424,#3423,#3422

apps/speed.c: fix compiler warnings in multiblock_speed().

sha[1|512]-x86_64.pl: fix logical errors with $shaext=0.

Prevent infinite loop loading config files.

PR#2985

Improve X509_check_host() documentation.

Based on feedback from Jeffrey Walton.

Update API to use (char *) for email addresses and hostnames

Reduces number of silly casts in OpenSSL code and likely most
applications.  Consistent with (char *) for "peername" value from
X509_check_host() and X509_VERIFY_PARAM_get0_peername().

Usage for -hack and -prexit -verify_return_error

Document certificate status request options.

s_server usage for certificate status requests

Sanity check keylength in PVK files.

PR#2277

Added reference to platform specific cryptographic acceleration such as AES-NI

Fixed error in pod files with latest versions of pod2man

sha512-x86_64.pl: fix typo.

PR: #3431

s3_pkt.c: fix typo.

apps/speed.c: add multi-block benchmark.

Return smaller of ret and f.

PR#3418.

Set optional peername when X509_check_host() succeeds.

Pass address of X509_VERIFY_PARAM_ID peername to X509_check_host().
Document modified interface.

New peername element in X509_VERIFY_PARAM_ID

Declaration, memory management, accessor and documentation.

Reduce casting nastiness.

Reduce casting nastiness.

Don't limit message sizes in ssl3_get_cert_verify.

PR#319 (reoponed version).

Add license info.

typo
(cherry picked from commit 2cfbec1caea8f9567bdff85d33d22481f2afb40a)

Remove all RFC5878 code.

Remove RFC5878 code. It is no longer needed for CT and has numerous bugs

Update ticket callback docs.

Close 3170, remove reference to Ariel Glenn's old 0.9.8 doc

RT 1638; EVP_*Final() should mention they no longer cleanup the ctx.

RT3408; fix some (not all suggested) typo's in openssl.cnf

Merge branch 'rsalz-docfixes'

Close a whole bunch of documentation-related tickets:
    298 424 656 882 939 1630 1807 2263 2294 2311 2424 2623
    2637 2686 2697 2921 2922 2940 3055 3112 3156 3177 3277

e_os.h: limit _MSC_VER trickery to older compilers.

PR: #3390

bn_exp.c: fix x86_64-specific crash with one-word modulus.

PR: #3397

Fix doc typo.

ERR_get_error(3) references the non-existent
ERR_get_last_error_line_data instead of the one that does exist,
ERR_peek_last_error_line_data.

PR#3283

Make disabling last cipher work.

ASN1 sanity check.

Primitive encodings shouldn't use indefinite length constructed
form.

PR#2438 (partial).

Add support for SHA2 in CAPI ENGINE.

PR#2706 though patch is from PR#3366.

Fix possible buffer overrun.

(cherry picked from commit 2db3ea29298bdc347f15fbfab6d5746022f05101)

Conflicts:
ssl/t1_lib.c

RT 1528; misleading debug print, "pre-master" should be "master key"

perlasm/ppc-xlate.pl update.

Engage SHA256/512 for PowerISA 2.07.

Add SHA256/512 for PowerISA 2.07.

RT 1530; fix incorrect comment

RT 1229; typo in comment "dont't"->"don't"

RT 3245; it's "bitwise or" not "logical or"

Fix RT 3211; "and are" -->"are"