Handle pixel formats with odd shift values

Our fast paths assume that each channel fits in to a separate byte.
That means the shift needs to be a multiple of 8. Start actually
checking this so that a client cannot trip us up and possibly cause
incorrect code exection.

Issue found by Pavel Cheremushkin from Kaspersky Lab.

(cherry picked from commit 05e28490873a861379c943bf616614b78b558b89)

Add unit tests for PixelFormat.is888() detection

(cherry picked from commit 91bdaa6c87a7f311163b5f1e4bbcd9de584968cd)

Be defensive about overflows in stream objects

We use a lot of lengths given to us over the network, so be more
paranoid about them causing an overflow as otherwise an attacker
might trick us in to overwriting other memory.

This primarily affects the client which often gets lengths from the
server, but there are also some scenarios where the server might
theoretically be vulnerable.

Issue found by Pavel Cheremushkin from Kaspersky Lab.

(cherry picked from commit 75e6e0653a48baf474fd45d78b1da53e2f324642)

Use size_t for lengths in stream objects

Provides safety against them accidentally becoming negative because
of bugs in the calculations.

Also does the same to CharArray and friends as they were strongly
connection to the stream objects.

(cherry picked from commit 0943c006c7d900dfc0281639e992791d6c567438)

Remove unused FixedMemOutStream

(cherry picked from commit 4ff58f0acaeb566b79ae12cf013b376eaaaab834)

Add sanity checks for PixelFormat shift values

Otherwise we might be tricked in to reading and writing things at
incorrect offsets for pixels which ultimately could result in an
attacker writing things to the stack or heap and executing things
they shouldn't.

This only affects the server as the client never uses the pixel
format suggested by th server.

Issue found by Pavel Cheremushkin from Kaspersky Lab.

(cherry picked from commit cd1d650c532a46e95a1229dffaf281c76a50cdfe)

Fix depth sanity test in PixelFormat

(cherry picked from commit f1b9b868ec943d51ef631f53a095d48d3f178f4f)

Add unit test for PixelFormat sanity checks

(cherry picked from commit 014c5012377519d7f0add23ebac077ccd882aa9f)

Handle empty Tight gradient rects

We always assumed there would be one pixel per row so a rect with
a zero width would result in us writing to unknown memory.

This could theoretically be used by a malicious server to inject
code in to the viewer process.

Issue found by Pavel Cheremushkin from Kaspersky Lab.

(cherry picked from commit b4ada8d0c6dac98c8b91fc64d112569a8ae5fb95)

Add write protection to OffsetPixelBuffer

No one should every try to write to this buffer. Enforce that by
throwing an exception if any one tries to get a writeable pointer
to the data.

(cherry picked from commit 9f615301aba1cc54a749950bf9462c5a85217bc4)

Restrict PixelBuffer dimensions to safe values

We do a lot of calculations based on pixel coordinates and we need
to make sure they do not overflow. Restrict the maximum dimensions
we support rather than try to switch over all calculations to use
64 bit integers.

This prevents attackers from from injecting code by specifying a
huge framebuffer size and relying on the values overflowing to
access invalid areas of the heap.

This primarily affects the client which gets both the screen
dimensions and the pixel contents from the remote side. But the
server might also be affected as a client can adjust the screen
dimensions, as can applications inside the session.

Issue found by Pavel Cheremushkin from Kaspersky Lab.

(cherry picked from commit 996356b6c65ca165ee1ea46a571c32a1dc3c3821)

Encapsulate PixelBuffer internal details

Don't allow subclasses to just override dimensions or buffer details
directly and instead force them to go via methods. This allows us
to do sanity checks on the new values and catch bugs and attacks.

(cherry picked from commit 53f913a76196c7357d4858bfbf2c33caa9181bae)

Make ZlibInStream more robust against failures

Move the checks around to avoid missing cases where we might access
memory that is no longer valid. Also avoid touching the underlying
stream implicitly (e.g. via the destructor) as it might also no
longer be valid.

A malicious server could theoretically use this for remote code
execution in the client.

Issue found by Pavel Cheremushkin from Kaspersky Lab

(cherry picked from commit d61a767d6842b530ffb532ddd5a3d233119aad40)

Update Finnish translation

(cherry picked from commit 7ac36ad42f70ff91224c5788b071825094a67d0e)

Update Hungarian translation

(cherry picked from commit 47c7de60082a7f66c0965eb6e8b5efe4e5109c0e)

Add Korean translation

(cherry picked from commit 36454cfa880377d2c3adfaa84c4944634233757b)

TigerVNC 1.10.0

Update Swedish translation

(cherry picked from commit bbbb67ee32b4ce909157ffc5af13a449059d4cdf)

Update Czech translation

(cherry picked from commit bae4f60b088a5a6b8eb339fce59aaa85d1ae4f4a)

Update Russian translation

(cherry picked from commit fb7667646f5472b43435a4019edeb4e4a7a433ec)

Update Brazilian Portuguese translation

(cherry picked from commit eea96c4e40cfa7a03a463c11b773331af5e17eb3)

Update Bulgarian translation

(cherry picked from commit 16abf6bcefe6004a564e86c54c8649d338634288)

Update German translation

(cherry picked from commit e1210592c9912a47ca9f89971504e2f3892f8e3c)

Update Ukrainian translation

(cherry picked from commit 71b0d7c86cc19ecf82d600acb30ce8683f7e0b22)

Update Chinese (traditional) translation

(cherry picked from commit 13b58d920647923d717b084aa5c71139ed5180b5)

Set explicit connect timeout on socket and use timer instead of counting iterations

Poll local socket to make sure SSH tunnel is ready before connecting

Fix external SSH arguments dialog

Fix for dialog modality on Mac OS X

Fix for issue #796

Using socket.getPeerName() causes DNS lookup and noticable UI stall

[java] Add support for java 9+ (removes support for java 7). Fixes #708,#771

[java] Trim any leading/trailing whitespace from servername

TigerVNC 1.9.90 (1.10.0 beta)

Update translation template file

Merge branch 'fix-mistake' of https://github.com/gschwind/tigervnc

Fix bad PixelBuffer reference in VNCServerST::setPixelBuffer()

We need to examine the incoming PixelBuffer, not the previous one
(which might not even be valid).

Merge pull request #866 from gschwind/fix-wrong-test-order

fix test order in convertLF and convertCRLF

Fix length checks in string conversion functions

We need to check the buffer length before accessing the incoming
string. Probably not a problem in practice as there should be a
final null in most incoming strings.

Issue found by Pavel Cheremushkin from Kaspersky Lab.

Add unit tests for convertLF() and convertCRLF()

Split test programs to benchmarking and unit tests

They have very different purpose, so make things easier to work
with by having multiple directories.

Use display polling by default in WinVNC

Window hooks aren't working well on modern systems so switch the
default to polling until we can fix things.

fix test order in convertLF and convertCRLF

The new order of test avoid ready invalid memory address in ca.buf

fix to early remove of iterator in VNCServerST::removeSocket

Merge pull request #849 from grulja/master

Do not return returncode indicating error when listing sessions

Do not return returncode indicating error when listing sessions

Merge branch 'exclipboard' of https://github.com/CendioOssman/tigervnc

Support extended clipboard transfers

Implements support in both client and server for the extended
clipboard format first seen in UltraVNC. Currently only implements
text handling, but that is still an improvement as it extends the
clipboard from ISO 8859-1 to full Unicode.

Use UTF-8 in clipboard API

In prepartion for better clipboard extensions that can send Unicode
data between the client and server.

Improved clipboard API

Change the internal clipboard API to use a request based model in
order to be prepared for more advanced clipboard transfers.

Add UTF-8 to/from ISO 8859-1 conversion routines

We convert between UTF-8 and ISO 8859-1 (latin 1) in several places
so create some common routines for this.

Clean up internal clipboard handling

We now filter incoming data, which means we can start assuming the
clipboard data is always null terminated. This allows us to clean
up a lot of the internal handling.

Make sure clipboard uses \n line endings

This is required by the protocol so we should make sure it is
enforced. We are tolerant of clients that violate this though and
convert incoming clipboard data.

Remove max area parameter from Region::get_rects()

It was unused and added complexity and bugs to the code. So let's
remove it rather than trying to clean up a function no one needed.

Properly mark overloaded methods with virtual

Makes it easier to see what is overloaded and what isn't.

Request keyboard grab ability under Xwayland

We're usually white listed, but let's be a good citizen and formally
request the keyboard grab ability from the compositor.

Update French translation

Merge branch 'master' of https://github.com/lprylli/tigervnc

Remove unneeded logging from ZRLE decoder

We will log the exception, so avoid direct writes to stderr by
simply removing these log lines.

Do proper logging rather than fprintf(stderr, ...)

Remove commented out logging

Fix wrap-aware isAfter function in Congestion.cxx

Result of overflow on signed integer arithmetic is undefined in C/C++ standard.
So in previous version clang was compiling the statement as (int)a > (int)b (i.e. assuming no overflow), which leads to incorrect result.

Correct deterministic behavior means doing overflow arithmetic as unsigned, i.e.
 a != b && a - b <= UINT_MAX / 2

Always get raw keyboard layout on macOS

Some input sources are still using input methods even though they
claim to be "ASCII" input. This causes our input handling to fail
since we need to query the layout to handle dead keys.

Fortunately there is another API to get the raw, underlying input
source that the input method uses. So let's use that and be sure
that we're always getting something we can use.

replace free with delete[]

Increase version string buffer size for gcc

There is some bug in gcc's new -Werror=format-overflow that makes it
think majorVersion could end up being very large. Increase the target
buffer for now to keep gcc happy.

Remove unused force protocol 3.3 code

Only save parameters that are visible from the UI

The parameter files are used to make sure changes in the UI are
persistent. Storing anything else results in behaviours that the
user has no easy way of changing.

Hide setPrimary parameter on non-X11 platforms

It is already hidden in the UI, so make sure it also is gone as a
command line parameter. This follows the behaviour of the similar
sendPrimary parameter.

Add delay on authentication failures

This provides some basic rate limiting that will make it difficult
for an attacker to brute force passwords. Only relevant when the
blacklist is disabled as otherwise the attacker only gets a very
limited number of attempts.

Handle server name overflow properly

We need to make sure it is null terminated on truncation. We also
need to avoid giving a too large size argument or modern gcc will
complain.

Add missing throws for exception

It is not enough to create an exception object, you need to throw
it as well.

Better document the argument for -geometry

It's not common knowledge these days how X geometry is specified, and
even the man page X(7) is missing on many systems now.

Show extra options in vncviewer --help

FLTK has some options (that we've also documented in the man page)
that should be mentioned in the --help output.

Don't use un-initialized stride to base constructor

We can use a dummy value here as we set up the buffer and stride
further down in the constructor.

Allow blacklist to be disabled

There might be multiple clients using a single IP (e.g. NAT), which
can make the blacklist do more harm than good. So add a setting to
disable it if needed.

Move Blacklist parameters out of the class

No need to expose these, so keep them internal to the implementation,
like most settings are.

Merge branch 'copyrightyear' of https://github.com/samhed/tigervnc

Only do initial LED sync if focused

We always sync when we get focus, so this code path is really only
for when the server announces LED state support after we already
have focus.

Make sure we only handle this specific scenario as otherwise we
could end up syncing twice, which just toggles things back and forth
and ends up syncing incorrectly.

Update visible copyright years to 2019

Update German translation

Update Esperanto translation

Don't build xserver with -I$(includedir) as it breaks cross-compiling

This is where to install headers to, not where to find headers to
build against. Toolchains should know where to locate their system
headers while non-system headers should be found using
pkg-config. Users with bizarre setups where the toolchain really
cannot find the system headers should set CPPFLAGS.

Fix Travis C++ specifier

Travis wants "cpp", not "c++". It just happened to work anyway
because the base image includes the same tools.

Merge branch 'docker' of https://github.com/CendioOssman/tigervnc

Use Ubuntu 16.04 for general builds

It has a current GnuTLS and FLTK which simplifies the build.

Do parallel builds for Ubuntu packages

Make the builds faster as we now run them often via Travis.

Build Ubuntu 14.04 (Trusty) packages in Travis

Build Ubuntu 16.04 (Xenial) package in Travis

Build RHEL 6 packages in Travis

Build RHEL 7 packages in Travis

Clean up RPM spec files

Remove the unused Java self sign variable, and make sure we don't
hard code a version as it needs to be adjusted before a build.

Add missing FLTK dependency

libXft is needed to build FLTK for the RHEL 6 RPM.

Clean up Ubuntu 14.04 FLTK build

The supporting scripts weren't really up to date, so remove them
and just require the packager to include FLTK in the source
tarball.

Make sure libXrandr is available in package builds

It is needed by x0vncserver.

Use Xorg source from distribution

Add libXfont as a Debian package dependency

It is needed to build Xvnc.

Stop building FLTK for modern distributions

They include a new enough version, so stop doing our own build.

Add x0vncserver option to only allow localhost connections

Patch originally by @KenMilmore on GitHub.

Add Chinese (traditional) translation

Remove obsolete packages

Packages for RHEL 5 and Ubuntu 12.04 are no longer maintained, so
remove those files.