Limit size of cursor accepted by client.

Width and height of a cursor are received as U16 from network. Accepting full range of U16 values can cause integer overflows in multiple places.

The worst is probably VLA in CMsgReader::readSetXCursor:
  rdr::U8 buf[width*height*4];

The width*height*4 can be too big to fit on stack or it can overflow into negative numbers. Both cases are undefined behaviour. Following writes to buf can overwrite other data on stack.

Partial fix for java viewer performance regression

Merge branches 'fix-vencrypt-leak' and 'fixes-ssecurityplain' of https://github.com/michalsrb/tigervnc

Limit max username/password size in SSecurityPlain.

Setting the limit to 1024 which should be still more than enough.

Unlimited ulen and plen can cause various security problems:
  * Overflow in `is->checkNoWait(ulen + plen)` causing it to contine when there is not enough data and then wait forever.
  * Overflow in `new char[plen + 1]` that would allocate zero sized array which succeeds but returns pointer that should not be written into.
  * Allocation failure in `new char[plen + 1]` from trying to allocate too much and crashing the whole server.

All those issues can be triggered by a client before authentication.

Fix checkNoWait logic in SSecurityPlain.

Currently it proceeds only if there aren't enough data in queue and then it blocks waiting.
Also the required amount to receive from network is (ulen + plen), not (ulen + plen + 2).

This allowed not authenticated clients to deny service to everyone.

Delete underlying ssecurity in SSecurityVeNCrypt.

Otherwise it gets leaked which would allow even not authenticated clients to exhaust server memory.

Be more restrictive with shared memory mode bits

Everyone else seems to get by with using 0600, so let's do the same.

Avoid leaking shared memory via X server

It's not enough that we detach from the shared memory, we must also
tell the X server to do so for it to be freed properly.

Merge branches 'fix' and 'fix-double-free-fences' of https://github.com/michalsrb/tigervnc

Prevent double free by crafted fences.

If client sent fence with some data, followed by fence with no data (length 0), the original fence data were freed, but the pointer kept pointing at them. Sending one more fence would attempt to free them again.

Prevent leak of SecurityServer and ClientServer.

They are created in SConnection's and CConnection's constructors but never destroyed.

There is no reason for the indirection, so lets make them direct members.

Fix crash from integer overflow in SMsgReader::readClientCutText

The length sent by client is U32, but is converted into int. If it was bigger than 0x7fffffff the resulting int is negative, it passes the check against maxCutText and later throws std::bad_alloc from CharArray which takes down the whole server.

All the Streaming API deals with lengths in ints, so we can't tell it to skip that big amount of data. And it is not realistic to expect more than 2GB of clipboard data anyway. So lets just throw rdr::Exception that will disconnect this client and keep the server alive.

Update visible copyright year to 2017

Add Friulian to list of active languages

Should have been included in the previous commit.

Add Friulian translation

Fix for "Invalid use of member 'stats' in static member function"

Remove Windows version information

It has been out of date for some time.

Java client support for X Cursor

Fix for exception handling in decoder threads (java client)

Java client support for cursors with full alpha

Merge branch 'fps' of https://github.com/CendioOssman/tigervnc

Remove unused variable deferredUpdateTimerSet

Send updates with a fixed interval

This redesigns the old "deferred updates" mechanism in to a frame
clock that governs how often updates are sent out. The goal is still
the same, to aggregate updates and avoid pointless updates, all in
the name of efficiency. This model should however be more robust
against delays that sometimes causes us to miss the desired rate.

Avoid flicker with a rendered cursor

This is not the code path commonly used in performance sensitive
scenarios, so favour correctness over performance.

Only update rendered cursor when requested

Clean up VNCSConnectionST::needRenderedCursor()

Make it a bit more readable.

Split up VNCSConnectionST::writeFramebufferUpdate()

Make the control flow a bit clearer.

Better handling of slow timers

Make sure the code deals more gracefully with timers that take a
long time to execute, and therefore might miss their deadlines.

Display performance statistics in viewer

Adds an optional graph to the viewer to display current frame rate,
pixel rate and network bandwidth. Makes it easier to debug and test
performance related issues.

Get correct text width for overlay

Incoming width specifies wrapping width, and we do not want any wrapping.

Don't try to render cursors with no size

Even if there are no pixels it will still trigger sanity checks
when we start throwing bogus coordinates around.

Remove reallocation log message from ManagedPixelBuffer

It adds a lot of noise to the debug output with little gain.

Server support for cursor with alpha

Client support for cursors with full alpha

Properly handle depth > 24 in ZRLE decoder

Client support for X Cursor

Dither cursors when reducing depth

Change cursor API to use RGBA data

This will allow us to use better formats that preserve the entire
alpha channel.

Fix for exception handling in decoder threads

Downed hosts should timeout reasonably quickly

Java client was not honoring "ServerName" option in config files

Mentioned in issue #38

Fix int <--> ptr conversion

Add missing headers

Fix wrapping/unwrapping of X11 hooks

The functions might change so we need to also make sure we grab
the updated value after each call. Clean up the code to use the
same style as the rest of the Xorg code.

Add missing package dependency

Fixes issue #408

Fix regression that omitted support for client redirect.

Also, delay showing DesktopWindow until first valid rect has been
recieved.  This allows for a ClientRedirect to take place before
any data rects have been received.

Fade overlay in and out

Add overlay tip to help find the context menu

Add alpha blending support to surfaces

Render on a temporary surface when needed

Some platforms draw directly to the screen, which means that updates
will flicker if we draw multiple layers. Prevent this by first
composing the update on a hidden surface.

Abstract platform rendering to "surfaces"

This will allow us to render more things than just the framebuffer.

Handle scrolling manually

Stop fighting with the FLTK scroll widget and handle layout ourselves.
This opens up the possibility of doing more complex drawing as well.

Improve framebuffer performance test measurement

Some platforms impose a significant delay per frame, so we need
to separate that from the time spent shuffling pixels.

Remove support for old macOS

Raising the requirement to 10.5 allows us to clean up the code a bit.

spelling fixes

Crop cursor before calling maskRect()

We can no longer assume maskRect() will tolerate uncropped data.

Restore cropping API to maskRect()

We need to restore the previous, more complex API in order to
easily handle masks now that we no longer accept out-of-bounds
operations.

Merge branch 'master' of https://github.com/ken3/tigervnc

Fix for shared memory leakage.

Remove needless static qualifier

Harmonise new client handlers

One was missing a call to register the fd with the X server, and
one forgot to set it to non-blocking. One result of this was a crash
when hitting the blacklist.

Prevent invalid PixelBuffer accesses

There has been multiple attempts at tricking decoders to exceed
the boundaries of the active pixel buffer. Add extra checks to
prevent such invalid access.

Check invalid RRE rects

Fix buffer overflow in ModifiablePixelBuffer::fillRect.

It can be triggered by RRE message with subrectangle out of framebuffer
boundaries. It may prevent the same kind of issue caused by evil message
from another encoding too.

Do explict sync after XShmPutImage()

The complex logic waiting for events didn't result in any added
performance, so use the simpler approach.

Fix -inetd not working with xserver >= 1.19

xserver 1.19's OsInit will create a pollfd, followed by checking if fd 2 /
stderr is writable and if it is not, replacing fd 2 with /dev/null.

Since we close stderr in inetd mode to avoid xserver messages being send
to the client as vnc data, the pollfd becomes fd 2, only to be replaced
by /dev/null since a pollfd is not writable.

This commit fixes this by opening /dev/null directly after the close(2),
avoiding that the pollfd becomes fd 2.

Alan Coopersmith: Change to use dup2() for atomic switch of fd

Signed-off-by: Hans de Goede <hdegoede@redhat.com>

Add Fltk and Gettext include dirs when compiling tests

Improve graphics performance on macOS

Use the APIs the way Apple wants us to, in order to avoid slow
fallback code paths in Quartz.

Add test to measure framebuffer performance

Remove unused declarations from Viewport.h

Avoid translating simple error exceptions

These are very rare and very low level. Might as well just print
the offending call to keep things easily maintained.

More robust event and close handling

There were still some circumstances where we could get stuck reading
data and not respect close events properly. Move that logic to a more
central place in order to make it more reliable.

Respect SendClipboard setting

Disable checkboxes for primary selection when relevant

Update French translation

Use dixChangeWindowProperty() instead of ChangeWindowProperty()

ChangeWindowProperty() was removed upstream because it was redundant,
and dixChangeWindowProperty() has been around since 1.5 so we can
safely use that.

Update .la files on each build

This makes sure other build systems trigger properly, e.g. when
building Xvnc.

Merge pull request #390 from bphinz/static-viewer

Java viewer refresh

Complete rewrite of pixel buffer & decoder implementation.

Adds multi-threading, more robust support for different pixel formats,
and several new runtime options.

Whitespace cleanup

Delete unecessary files

Method cleanup.

Sync various methods and filenames with C++ versions

Whitespace cleanup

Update version

Merge branch 'master' of https://github.com/atalax/tigervnc

Log statistics from ComparingUpdateTracker

Update Ubuntu package dependencies.

Fixes #360

Update package build dependecies.

Fixes #349

hextileDecode.h: Fix buffer overflow

The hextileDecodexx functions do not properly check for out-of-bounds writes,
which allows a malicious server to overwrite parts of the stack.

MacOS package: Added NSHighResolutionCapable tag to Info.plist

With the flag the application will start enable the high resolution
display. I tested this on a Macbook Pro with a High Resolution Display.
The fonts are better to read.

Added a method for copying between streams

Added a method for reading into a ByteBuffer

Cosmetic change (increased border spacing)

Update Esperanto translation

Fix busy loop in FdOutStream::flush()

This bug was introduced in c6df31db. A non-blocking socket that did
not have any more space would busy loop until the write succeeded.
Instead now it returns without any action, just as it did before
the bug was introduced.

Handle select() errors

Merge X server block handling code paths

Use the new X server API as the reference system and emulate it on
the older API. Avoids a lot of code duplication.

Move getSockets() to SocketServer interface

Any caller using add or remove should also be able to list the
sockets.

Add xorg-xserver 1.19 support

Fix temporary decoder buffer sizes

Some of these were excessively large because of redundant factors
in the size calculation.