Merge branch 'no_MTU_setting_in_openconnect_itself' into 'master'

Don't try to set MTU on tunnel interface within (lib)openconnect itself

See merge request openconnect/openconnect!195

Merge branch 'code_climate_deepsource' into 'master'

Improve code for future maintenance

Closes #342 and #341

See merge request openconnect/openconnect!303

Merge branch 'const_char' into 'master'

Declare C string constants using array syntax

See merge request openconnect/openconnect!309

Merge branch 'cast_char' into 'master'

Do not cast `const char *` to `char *`

See merge request openconnect/openconnect!312

Merge branch 'free_const_char' into 'master'

Silence compiler warnings [-Wdiscarded-qualifiers]

See merge request openconnect/openconnect!316

Merge branch 'vpn_progress_wintun_version' into 'master'

Silence compiler warning [-Wformat=]

See merge request openconnect/openconnect!317

Merge branch 'gai_strerror' into 'master'

Win32: gai_strerror → WSAGetLastError

See merge request openconnect/openconnect!322

Merge branch 'sigaction' into 'master'

Check return value of sigaction()

See merge request openconnect/openconnect!318

Merge branch 'obs' into 'master'

Add packaging and configuration files for OBS build

See merge request openconnect/openconnect!342

Merge branch 'dump_buf_hex_performance' into 'master'

Skip dump_buf_hex() when the log level is low enough

Closes #395

See merge request openconnect/openconnect!348

Merge branch 'man' into 'master'

Consistency in man page

See merge request openconnect/openconnect!350

Merge branch 'reconnection_report_PRG_ERROR' into 'master'

Adjust verbosity level of Fortinet-related logging

Closes #402

See merge request openconnect/openconnect!352

Merge branch 'master' into 'master'

Set loglevel as soon as it's known

Closes #401

See merge request openconnect/openconnect!351

Silence compiler warnings [-Wdiscarded-qualifiers]

It's just a quirk that free takes non-const: it doesn't actually modify
the value pointed to, either conceptually or in practice, it merely looks
up the memory block using the pointer and deallocates it.

Unfortunately, the compiler will emit  warning when attempting to free()
a "const char *". So either switch to a pointer to non-const or cast to
(void *) when calling free() on a pointer to const.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Adjust verbosity level of Fortinet-related logging

iBecause these messages do not convey an actual error status,
use PRG_INFO instead of PRG_ERR.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Declare C string constants using array syntax

Avoid pointer syntax when possible.

They are different, the array syntax generates smaller, faster code.

See for example:
https://eklitzke.org/declaring-c-string-constants-the-right-way

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

No need to cast `const char *` to `char *`

Function openconnect_vpninfo_new() expects a `const char *`, so why cast
the string literal to `char *`?

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Skip dump_buf_hex() when the log level is low enough

This is a performance fix.

Indeed, dump_buf_hex() is heavy enough to significantly slow down
OpenConnect. So avoid calling dump_buf_hex() when the log level does
not require it.

Before this patch, the whole body of dump_buf_hex() was executed,
even when vpn_progress() wouldn't print anything.

Same for dump_buf(), although the performance hit is less important.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

stoken: Fix const warnings

Signed-off-by: David Woodhouse <dwmw2@infradead.org>

esp: Close socket on error

Previously we would just keep trying to read from it and consume all CPU.

Fixes: 389 (hopefully)
Signed-off-by: David Woodhouse <dwmw2@infradead.org>

epoll: Handle EPOLLERR as 'readable'

When we use select(), an error event on a file descriptor causes it to
be reported as readable, and some of the handlers will only clean it up
if that happens. So set the 'readable' flag on EPOLLERR too.

This is part of #389.

Signed-off-by: David Woodhouse <dwmw2@infradead.org>

Set loglevel as soon as it's known

Fixes #401

Signed-off-by: Maxim Storchak <m.storchak@gmail.com>

Consistency in man page

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Silence compiler warning [-Wformat=]

Because ver is a DWORD, the major and minor components of the version
are also DWORD (unsigned long) and should be printed with "%lu".

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Fix --reconnect-timeout documentation

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>
Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Merge branch 'fix_388' into 'master'

Bugfix RSA SecurID token decryption and PIN entry forms

Closes #388

See merge request openconnect/openconnect!344

Fix GP fake server parameters so that gateway-interface 2FA is actually tested

To match the actually-parsed parameters in tests/fake-gp-server.py, change
'gateway_2fa' → 'gw_2fa'.

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Add changelog entry

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Bugfix RSA SecurID token decryption and PIN entry forms

As of
https://gitlab.com/openconnect/openconnect/-/commit/386a6edb6d2d1d2cd3e9c9de8d85dc7bfda60d34,
all auth forms are required to have a non-NULL `auth_id`.

However, we forget to make stoken.c set the `auth_id` for the forms that it
creates for RSA SecurID token decryption and PIN entry.  Let's name these:

  - `_rsa_unlock`, for token decryption.
  - `_rsa_pin`, for PIN entry.  Also, rename the numeric PIN field to `pin`
    rather than `password`; there can't be any existing users relying on
    `--form-entry` to set its value, because that wouldn't work without the
    `auth_id`.

Fixes #388.

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Add changelog entry

For 6a2ffbbcd1c4ef0b689cce3d17154f6d4c2e3bc0 ("Fix Windows tun setup crash")

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Store OBS _service file

This has to be added manually to an OBS project, but store it in
git for easier tracking and restoring

Signed-off-by: Luca Boccassi <bluca@debian.org>

Add OBS workflow configuration file

Signed-off-by: Luca Boccassi <bluca@debian.org>

Add packaging files for OBS build

Signed-off-by: Luca Boccassi <bluca@debian.org>

Add --enable-docs option

Allow to explicitly disable building documentation. Some
platforms are too old (RHEL 7) and even if Python is available due
to build macros, building documentation fails. Allow to disable it
explicitly.

Signed-off-by: Luca Boccassi <bluca@debian.org>

Fix Windows tun setup crash

The intention was to use vpninfo->hostname, by passing it as a parameter
to the create_ifname_w() function. But that function still just uses
vpninfo->ifname unconditionally, ignoring the argument. And causing the
crash in #370.

Fix up some bogus formatting while we're at it. We don't do open braces
on the same line as the function declaration.

Fixes: 48bd28aadd ("Use hostname as Wintun ifname (if ifname not specified)")
Signed-off-by: David Woodhouse <dwmw2@infradead.org>

Decorate with `@staticmethod` if `self` is not used

Fixes Codacy alert:
Method could be a function

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Condition `!dtlsver` is true after `else if (dtlsver)`

Fixes a Codacy alert:
Condition '!dtlsver' is always false

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Condition `len>=0` is true after `if (len < 0)`

Fixes a Codacy alert:
Condition 'len>=0' is always true

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Remove unused imports

This fixes Codacy alerts:
'sys.version_info' imported but unused
'urllib.parse.urlencode' imported but unused

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Avoid assert statement outside of tests

This fixes DeepSource alerts:

Assert statement used outside of tests

Usage of assert statement in application logic is discouraged. assert is
removed with compiling to optimized byte code. Consider raising an
exception instead. Ideally, assert statement should be used only in tests.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Local variable redefined argument

This fixes a DeepSource alert:

Argument redefined from local

A local name is redefining an argument, which might suggest a potential
error. This is taken into account only for a handful of name binding
operations, such as for iterations, with statements, and exception
handler assignments.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Avoid code complexity

This fixes a CodeClimate alert.

Found and removed a duplicate test in the process.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Avoid code duplication

This fixes a CodeClimate alert.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Use `()` and `{}` instead of `list()` and `dict()`

This fixes a DeepSource alert:

Consider using literal syntax to create the data structure

Using the literal syntax can give minor performance bumps compared to
using function calls to create dict, list and tuple.

This is because here, the name dict must be looked up in the global
scope in case it has been rebound. Same goes for the other two types
list() and tuple().

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Overridden methods should have identical parameters

This fixes a DeepSource alert:

Mismatched parameters in overridden method

Python will allow this, but if the overridden method is intended to be
executed from external code, you may want to reconsider this.
Overriding a method without ensuring that both methods accept the
same number and type of parameters has the potential to cause an
error when the overriding method is called with a number of parameters
that is illegal for the overridden method. This violates the Liskov
substitution principle.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Protect next() calls wit try/except inside generators

This fixes a DeepSource alert:

Unguarded next inside generator

Calls to `next()` should be inside `try-except` block.

When the iterator is exhausted, `StopIteration` exception is raised. When
used inside a generator, this can cause unexpected behavior. If not
handled, it will propagate out of the generator causing termination.
PEP-479 has been accepted to fix this problem. It will modify the
behavior of `StopIteration` in generators.

Each call to `next()` should be wrapped in a `try-except` block to explicitly
handle `StopIteration` exceptions.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>
 Veuillez saisir le message de validation pour vos modifications. Les lignes

Squash two identical `if` branches

This fixes a DeepSource alert:

Branches of the `if` statement have similar implementation

For the highlighted `if` statements, all the `elif`/`else` branches have
the same body as `if`. It is recommended to refactor this snippet.

If the if-chain is performing the same action in every case, it shouldn't
be used there at all.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Do not use `type` as a variable name

This fixes a DeepSource alert:

Re-definition found for builtin function

Defining a local variable or function with the same name as a built-in
object makes the built-in object unusable within the current scope and
makes the code prone to bugs.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Fix Linux kernel coding style error and warnings

"foo * bar" should be "foo *bar"
"foo* bar" should be "foo *bar"
"(foo * )" should be "(foo *)"

Use the name ARRAY_SIZE() for a macro (as in Linux kernel).

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Check return value of sigaction()

It shouldn't fail, but you never know. Check the return value and print
an error message. Yet do not bale out, as OpenConnect might still be
able to create the VPN connection.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Win32: gai_strerror → WSAGetLastError

The Windows Sockets documentation recommends using WSAGetLastError()
instead of gai_strerror(), because the latter is not thread safe:
https://docs.microsoft.com/en-us/windows/win32/winsock/error-codes-errno-h-errno-and-wsagetlasterror-2

Properly decode the output using openconnect__win32_strerror().

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Make buf_append_utf16le() robust against being passed NULL

This should stop the crash in #370 slthough it would be good to know
precisely why it's happening.

Signed-off-by: David Woodhouse <dwmw2@infradead.org>

GP SAML: support legacy workflow

The legacy workflow (with no GUI registering open_webview) can still work,
simply detect whether the callback has been registered or not

Signed-off-by: Luca Boccassi <luca.boccassi@microsoft.com>

AC SAML: cookies might be empty

It has been reported that at least with Google's SAML
the error cookie can be present but empty.
Skip over them if so.

Signed-off-by: Luca Boccassi <luca.boccassi@microsoft.com>

AC SAML: do not assume the cookie will be on the final page

At least with Google's SAML, the cookie appears before the final page.

Signed-off-by: Luca Boccassi <luca.boccassi@microsoft.com>

GP SAML: handle redirect case

Signed-off-by: Luca Boccassi <luca.boccassi@microsoft.com>

GP SAML: fix some memory handling

Signed-off-by: Luca Boccassi <luca.boccassi@microsoft.com>

Docs: note that GP + SAML is supported by network-manager-openconnect

Signed-off-by: Luca Boccassi <luca.boccassi@microsoft.com>

start adding GP SSO support

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

split OC_FORM_OPT_SSO into _TOKEN and _USER versions, and don't open_webview until after "normal" form processing

OC_FORM_OPT_SSO_USER will be needed for GlobalProtect SSO.

See https://gitlab.com/openconnect/openconnect/-/merge_requests/75#note_478078985
for why we (might )need to process the "normal" form fields before handling
the SSO parts.

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

openconnect_open_webview_vfn should return int, and accept callback data

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

make .sso_detect_done a protocol-specific VFN, and use in openconnect_webview_load_changed

Also changes the "keep going" return value to -EAGAIN.

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Support AnyConnect single-sign-on-v2

Advertise support for auth-method single-sign-on-v2.  This, combined
with not sending X-AnyConnect-Platform and X-Support-HTTP-Auth, allows
one to complete a web-based SSO authentication.  Server replies with a
response like:

    <?xml version="1.0" encoding="UTF-8"?>
    <config-auth client="vpn" type="auth-request" aggregate-auth-version="2">
    <opaque is-for="sg">
    <tunnel-group>standard-group</tunnel-group>
    <auth-method>single-sign-on-v2</auth-method>
    <group-alias>Anyconnect</group-alias>
    <config-hash>1584128676139</config-hash>
    </opaque>
    <auth id="main">
    <title>Login</title>
    <message>Please complete the authentication process in the AnyConnect Login window.</message>
    <banner></banner>
    <sso-v2-login>https://SERVER_NAME/+CSCOE+/saml/sp/login?tgname=standard-group&#x26;acsamlcap=v2</sso-v2-login>
    <sso-v2-login-final>https://SERVER_NAME/+CSCOE+/saml_ac_login.html</sso-v2-login-final>
    <sso-v2-token-cookie-name>acSamlv2Token</sso-v2-token-cookie-name>
    <sso-v2-error-cookie-name>acSamlv2Error</sso-v2-error-cookie-name>
    <form>
    <input type="sso" name="sso-token"></input>
    <select name="group_list" label="GROUP:">
    <option selected="true">Anyconnect</option>
    </select>
    </form>
    </auth>
    </config-auth>

If either X-AnyConnect-Platform or X-Support-HTTP-Auth is present, then
this response is not received, and a 302 redirect to the "standard" auth
flow is given.  However, this auth flow does not work on my VPN server;
presumably it is administratively disabled.

Once you get the above response, you can open the URL from sso-v2-login
in an HTML viewer and complete the steps.  This requires an openconnect
front-end that supports the open_webview callback.  Eventually you end
up at the URL from sso-v2-login-final, and then you can extract the
cookie with the name in sso-v2-token-cookie-name (acSamlv2Token, in this
case).

Neither samlwebcookie nor openconnect-sso, mentioned in #84, worked for
me.

Signed-off-by: Steven Walter <steven@stevenwalter.org>
Co-authored-by: Luca Boccassi <luca.boccassi@microsoft.com>

Tag version 8.20

Signed-off-by: David Woodhouse <dwmw2@infradead.org>

Fix EXTRA_DIST for ocserv config files

We need to include the .config.in file in the tarball, not the file
that is generated from it. Not entirely show how this ever worked,
but some of the messing with how it's autogenerated has caused it
to hard-code usernames from my build/ship system in the tarballs
and cause koji builds to fail with unknown users in the config.

Signed-off-by: David Woodhouse <dwmw2@infradead.org>

Avoid printing spurious ENOENT error from EPOLL_CTL_DEL

In openconnect_close_https() we always unmonitor the ssl_fd even if we are
still in the auth phase and hadn't actually monitored it yet. I think I'd
like to keep track of that better, with a flag to explicitly keep track
of whether a given fd is registered. Or maybe abusing a high bit of the
existing vpninfo->XXX_epoll variables that already keep state.

For the imminent release though, let's take the simple approach and just
ignore the harmless error. Not pretty, but safer.

Signed-off-by: David Woodhouse <dwmw2@infradead.org>

Resync translations with sources

Signed-off-by: David Woodhouse <dwmw2@infradead.org>

Update translations from GNOME

Signed-off-by: David Woodhouse <dwmw2@infradead.org>

Merge branch 'wip/dueno/tss2-rc' of gitlab.com:dueno/openconnect

html.py must run with either Python 2 or 3 to support COPR builds

The script starts with `#!/usr/bin/env python3` but COPR builds run it as
`/usr/bin/python2 "./html.py"`. In the long term we should phase out Python
2 and make sure Python 3 is used everywhere.  In the short term, let's
repair COPR builds first, then plan the Python 2 to 3 transition.

This reverts e83b646f.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>
Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Merge branch 'tmp-fedora35' into 'master'

Move CI to fedora35

See merge request openconnect/openconnect!340

Merge branch 'spelling' into 'master'

Spelling

See merge request openconnect/openconnect!311

.gitlab-ci.yml: removed legacy references to rdrand

These apply both to F35 and current F34 image.

Signed-off-by: Nikos Mavrogiannopoulos <n.mavrogiannopoulos@gmail.com>

.gitlab-ci.yml: remove unnecessary installations

swtpm is now part of the CI image.

Signed-off-by: Nikos Mavrogiannopoulos <n.mavrogiannopoulos@gmail.com>

.gitlab-ci.yml: build on fedora35

Signed-off-by: Nikos Mavrogiannopoulos <n.mavrogiannopoulos@gmail.com>

Fix typos not found by codespell

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>

Use ARRAY_SIZE(array) macro instead of hard-coded sizeof(array)/N

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>
Signed-off-by: Daniel Lenski <dlenski@gmail.com>

In dumb_socketpair(), delete Unix-domain socket path once no longer needed

Small follow-up improvement to
https://gitlab.com/openconnect/openconnect/-/merge_requests/320, which made
dumb_socketpair() able to use Unix-domain sockets, on those Windows versions
that support them albeit only with named paths.

This was suggested as a way to prevent the Windows dumb_socketpair()
implementation from leaving behind size-0 files, even if normally only in
temporary directories.

See original suggestion at
https://github.com/microsoft/WSL/issues/4240#issuecomment-1027607891.

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

libopenconnect: add public interface stubs for SAML support

The SAML support is still work in progress and not merged yet.
Start adding the new public API to libopenconnect, so that
distributions can choose to ship with out-of-tree support to
let their users have the feature without breaking ABI
compatibility.

Signed-off-by: Luca Boccassi <luca.boccassi@microsoft.com>
Co-authored-by: Steven Walter <steven@stevenwalter.org>

Merge branch 'pulse_IPv6_docs' into 'master'

update Pulse, F5, Fortinet docs and diagnostic messages

See merge request openconnect/openconnect!272

Clarify Fortinet no-valid-cookie error paths

When requesting connection options in XML format…

1. A redirect indicates invalid cookie only if it is to /remote/login
2. A 403 followed by a fetch of the HTML format connection options
   indicates an ancient FortiOS version only if the HTML fetch is actually
   *successful* (200)

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Print warning if Fortinet server doesn't indicate support/no-support for reconnect-after-drop

FortiGate v6.2.1 and newer appear to support reconnect-after-drop without
reauth, but only if the tag and attribute
'<auth-ses tun-connect-without-reauth="1">' are present in the config.  As
of https://gitlab.com/openconnect/openconnect/-/merge_requests/292, we print
and act on this information.

We should also request feedback from users of Fortinet VPNs which don't
explicitly advertise either allowing or disallowing it.

See discussion at
https://gitlab.com/openconnect/openconnect/-/issues/297#note_664686767

Also, print the 'mr_num' field which is apparently part of some newer
Fortinet servers' version information.

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Mention support for DTLSv1.2 in F5 BIG-IP v16 or newer

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Print Pulse server's IPv6 internal gateway address (in addition to Legacy IP)

The existence of this attribute was noted in
https://gitlab.com/openconnect/openconnect/-/issues/254#note_595455571.  As
with its Legacy IP equivalent, an IPv6 "gateway" address is superfluous and
unnecessary for a tunnel connection.

Known Pulse servers consistently send an IPv6 internal gateway address which
falls in the fc00::/7 range of "unique local addresses"
(https://en.wikipedia.org/wiki/Unique_local_address), as in this example:

    $ openconnect -vv pulse.vpn.com
    ...
    Received internal Legacy IP address 10.200.200.2
    Received netmask 255.255.255.255
    Received internal gateway address 10.200.200.200        (Legacy IP)
    Received internal IPv6 address 2001:abc:123:4::567/128
    Received internal gateway IPv6 address fd00::ac8:c8c8   (IPv6)
    Received IPv6 split include ::/0

This patch also *renames* the 'cstp_options' entry for the Legacy IP gateway
address (was 'ipaddr', changed to 'gateway') so that any front-end which
uses this list won't confuse it with the VPN interface's assigned Legacy IP
address (which is named 'ipaddr' for all currently-supported protocols).

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Mention that some Pulse VPNs need to spoof official UA/OS to make IPv6 work

As discussed in https://gitlab.com/openconnect/openconnect/-/issues/254#note_661398964

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Remove already-disabled code copied from oncp.c into pulse.c

Also removes a comment about an unhandled field which is, in fact, already
handled (0x000f → IPv6 split-include).

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Pulse IPv6 is now known to work on real-world servers

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Print detailed error information when opening cmd pipe/socketpair fails

Retrieve and print detailed information using GetLastError() and
strerror().

This should be more useful to end-users than the current message (simply
“Error opening cmd pipe”) and might have helped us to solve
https://gitlab.com/openconnect/openconnect/-/issues/228 more quickly.

Signed-off-by: Dimitri Papadopoulos <3350651-DimitriPapadopoulos@users.noreply.gitlab.com>
Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Merge branch 'pulse-config-on-9.1' into 'master'

Pulse 9.1R14: handle 0x2e20f000 main configuration packet

Closes #58, #98, and #379

See merge request openconnect/openconnect!331

Update changelog

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Pulse: handle 0x2e20f000 main configuration packet

This packet type was received upon attempting to connect to a
Pulseb 9.1R14 server (with IPv6 enabled, though this may not
be relevant).

Upon receiving this packet we previously bailed out and failed
back to the user with:

    Unexpected IF-T/TLS packet when expecting configuration

The "new" config packet packs what appears to be a second
attributes section in front of the legacy routing block. It
is not yet clear what the single example attribute seen so
far (0x4025) is for (perhaps it is to indicate the presence
or absence of the legacy routing block?).

We now have two other reports that this fixes
https://gitlab.com/openconnect/openconnect/-/issues/379, allowing other
users to connect to Pulse 9.1R14 servers as well:

- https://gitlab.com/openconnect/openconnect/-/issues/379#note_833921090
- https://gitlab.com/openconnect/openconnect/-/issues/379#note_834059102

[ DL tweaked length checks and comments ]

Signed-off-by: David Overton <therealdave32@gmail.com>
Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Fix memory leak in pulse.c

This issue was hidden by the oversight of Legacy IPv4 split routes in
3d845bc9b, which was subsequently fixed in
https://gitlab.com/openconnect/openconnect/-/merge_requests/330 / 52d1c674.

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Bugfix Legacy IP split include/exclude routes for Pulse

In 3d845bc9b, routing configuration was modified to use the `new_ip_info`
and `install_vpn_opts()`.  Pulse IPv6 split include/exclude handling were
modified accordingly in that commit, but Legacy IP split include/exclude
routes were overlooked.

Since `install_vpn_opts()` clobbers the split include/exclude routes, this
means Legacy IP split routes for Pulse have been ignored since then.

Closes https://gitlab.com/openconnect/openconnect/-/merge_requests/330

Signed-off-by: David Overton <therealdave32@gmail.com>
Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Update translations from GNOME

Signed-off-by: David Woodhouse <dwmw2@infradead.org>

Merge branch 'doc_updates' into 'master'

Documentation updates

See merge request openconnect/openconnect!327

Add jq as a build dependency to fix COPR builds

OpenConnect is cross-compiled directly from Fedora in COPR builds, so
this build dependency is a native Fedora package.

The dependency on 'jq' was introduced in b8f79ce9, and the resulting
brokenness of the COPR builds was noted in
https://gitlab.com/openconnect/openconnect/-/issues/286#note_825611200

Signed-off-by: Daniel Lenski <dlenski@gmail.com>

Merge branch 'master' into 'master'

Absolute redirect with '://' in URL param should be valid

See merge request openconnect/openconnect!329

Absolute redirect with '://' in URL param should be valid

Signed-off-by: Ivan Afonichev <ivan.afonichev@gmail.com>

Merge branch 'pass_LOG_LEVEL_to_vpnc_script' into 'master'

Pass verbosity level in vpnc-script environment as LOG_LEVEL

See merge request openconnect/openconnect!328

Mention other Windows vpnc-script improvement MRs in changelog

Signed-off-by: Daniel Lenski <dlenski@gmail.com>