tidying
[exim.git] / src / src / malware.c
index 365ef03503678eafa449aa9e966d422d0da8c264..a5944cafb6aa650d4a907b00ef8c32a49de96274 100644 (file)
@@ -2,8 +2,10 @@
 *     Exim - an Internet mail transport agent    *
 *************************************************/
 
-/* Copyright (c) Tom Kistner <tom@duncanthrax.net> 2003-2014 */
-/* License: GPL */
+/* Copyright (c) Tom Kistner <tom@duncanthrax.net> 2003 - 2015
+ * License: GPL
+ * Copyright (c) The Exim Maintainers 2016
+ */
 
 /* Code for calling virus (malware) scanners. Called from acl.c. */
 
@@ -38,14 +40,12 @@ static struct scan
 /* The maximum number of clamd servers that are supported in the configuration */
 #define MAX_CLAMD_SERVERS 32
 #define MAX_CLAMD_SERVERS_S "32"
-/* Maximum length of the hostname that can be specified in the clamd address list */
-#define MAX_CLAMD_ADDRESS_LENGTH 64
-#define MAX_CLAMD_ADDRESS_LENGTH_S "64"
 
-typedef struct clamd_address_container {
-  uschar tcp_addr[MAX_CLAMD_ADDRESS_LENGTH+1];
-  unsigned int tcp_port;
-} clamd_address_container;
+typedef struct clamd_address {
+  uschar * hostspec;
+  unsigned tcp_port;
+  unsigned retry;
+} clamd_address;
 
 #ifndef nelements
 # define nelements(arr) (sizeof(arr) / sizeof(arr[0]))
@@ -108,28 +108,30 @@ BOOL malware_ok = FALSE;
 the scan directory normally for that case, but look into rigging up the
 needed header variables if not already set on the command-line? */
 extern int spool_mbox_ok;
-extern uschar spooled_message_id[17];
+extern uschar spooled_message_id[MESSAGE_ID_LENGTH+1];
 
 
 
 static inline int
 malware_errlog_defer(const uschar * str)
 {
-  log_write(0, LOG_MAIN|LOG_PANIC, "malware acl condition: %s", str);
-  return DEFER;
+log_write(0, LOG_MAIN|LOG_PANIC, "malware acl condition: %s", str);
+return DEFER;
 }
 
 static int
-m_errlog_defer(struct scan * scanent, const uschar * str)
+m_errlog_defer(struct scan * scanent, const uschar * hostport,
+  const uschar * str)
 {
-  return malware_errlog_defer(string_sprintf("%s: %s", scanent->name, str));
+return malware_errlog_defer(string_sprintf("%s %s : %s",
+  scanent->name, hostport ? hostport : CUS"", str));
 }
 static int
-m_errlog_defer_3(struct scan * scanent, const uschar * str,
-       int fd_to_close)
+m_errlog_defer_3(struct scan * scanent, const uschar * hostport,
+  const uschar * str, int fd_to_close)
 {
-  (void) close(fd_to_close);
-  return m_errlog_defer(scanent, str);
+(void) close(fd_to_close);
+return m_errlog_defer(scanent, hostport, str);
 }
 
 /*************************************************/
@@ -141,111 +143,61 @@ static inline int
 m_tcpsocket(const uschar * hostname, unsigned int port,
        host_item * host, uschar ** errstr)
 {
-  return ip_connectedsocket(SOCK_STREAM, hostname, port, port, 5, host, errstr);
-}
-
-static int
-m_tcpsocket_fromdef(const uschar * hostport, uschar ** errstr)
-{
-  int scan;
-  uschar hostname[256];
-  unsigned int portlow, porthigh;
-
-  /* extract host and port part */
-  scan = sscanf(CS hostport, "%255s %u-%u", hostname, &portlow, &porthigh);
-  if ( scan != 3 ) {
-    if ( scan != 2 ) {
-      *errstr = string_sprintf("invalid socket '%s'", hostport);
-      return -1;
-    }
-    porthigh = portlow;
-  }
-
-  return ip_connectedsocket(SOCK_STREAM, hostname, portlow, porthigh,
-                           5, NULL, errstr);
-}
-
-static int
-m_unixsocket(const uschar * path, uschar ** errstr)
-{
-  int sock;
-  struct sockaddr_un server;
-
-  if ((sock = socket(AF_UNIX, SOCK_STREAM, 0)) < 0) {
-    *errstr = US"can't open UNIX socket.";
-    return -1;
-  }
-
-  server.sun_family = AF_UNIX;
-  Ustrncpy(server.sun_path, path, sizeof(server.sun_path)-1);
-  server.sun_path[sizeof(server.sun_path)-1] = '\0';
-  if (connect(sock, (struct sockaddr *) &server, sizeof(server)) < 0) {
-    int err = errno;
-    (void)close(sock);
-    *errstr =  string_sprintf("unable to connect to UNIX socket (%s): %s",
-                 path, strerror(err));
-    return -1;
-    }
-  return sock;
-}
-
-static inline int
-m_streamsocket(const uschar * spec, uschar ** errstr)
-{
-  return *spec == '/'
-    ? m_unixsocket(spec, errstr) : m_tcpsocket_fromdef(spec, errstr);
+return ip_connectedsocket(SOCK_STREAM, hostname, port, port, 5, host, errstr);
 }
 
 static int
 m_sock_send(int sock, uschar * buf, int cnt, uschar ** errstr)
 {
-  if (send(sock, buf, cnt, 0) < 0) {
-    int err = errno;
-    (void)close(sock);
-    *errstr = string_sprintf("unable to send to socket (%s): %s",
-          buf, strerror(err));
-    return -1;
-    }
-  return sock;
+if (send(sock, buf, cnt, 0) < 0)
+  {
+  int err = errno;
+  (void)close(sock);
+  *errstr = string_sprintf("unable to send to socket (%s): %s",
+        buf, strerror(err));
+  return -1;
+  }
+return sock;
 }
 
 static const pcre *
 m_pcre_compile(const uschar * re, uschar ** errstr)
 {
-  const uschar * rerror;
-  int roffset;
-  const pcre * cre;
-
-  cre = pcre_compile(CS re, PCRE_COPT, (const char **)&rerror, &roffset, NULL);
-  if (!cre)
-    *errstr= string_sprintf("regular expression error in '%s': %s at offset %d",
-       re, rerror, roffset);
-  return cre;
+const uschar * rerror;
+int roffset;
+const pcre * cre;
+
+cre = pcre_compile(CS re, PCRE_COPT, (const char **)&rerror, &roffset, NULL);
+if (!cre)
+  *errstr= string_sprintf("regular expression error in '%s': %s at offset %d",
+      re, rerror, roffset);
+return cre;
 }
 
 uschar *
 m_pcre_exec(const pcre * cre, uschar * text)
 {
-  int ovector[10*3];
-  int i = pcre_exec(cre, NULL, CS text, Ustrlen(text), 0, 0,
-               ovector, nelements(ovector));
-  uschar * substr = NULL;
-  if (i >= 2)                          /* Got it */
-    pcre_get_substring(CS text, ovector, i, 1, (const char **) &substr);
-  return substr;
+int ovector[10*3];
+int i = pcre_exec(cre, NULL, CS text, Ustrlen(text), 0, 0,
+             ovector, nelements(ovector));
+uschar * substr = NULL;
+if (i >= 2)                            /* Got it */
+  pcre_get_substring(CS text, ovector, i, 1, (const char **) &substr);
+return substr;
 }
 
 static const pcre *
-m_pcre_nextinlist(uschar ** list, int * sep, char * listerr, uschar ** errstr)
+m_pcre_nextinlist(const uschar ** list, int * sep,
+ char * listerr, uschar ** errstr)
 {
-  const uschar * list_ele;
-  const pcre * cre = NULL;
+const uschar * list_ele;
+const pcre * cre = NULL;
 
-  if (!(list_ele = string_nextinlist(list, sep, NULL, 0)))
-    *errstr = US listerr;
-  else
-    cre = m_pcre_compile(CUS list_ele, errstr);
-  return cre;
+if (!(list_ele = string_nextinlist(list, sep, NULL, 0)))
+  *errstr = US listerr;
+else
+  cre = m_pcre_compile(CUS list_ele, errstr);
+return cre;
 }
 
 /*
@@ -379,7 +331,7 @@ switch (*line)
   case 'A': /* ERR */
     if ((p = strchr (line, '\n')) != NULL)
       *p = '\0';
-    return m_errlog_defer(scanent,
+    return m_errlog_defer(scanent, NULL,
       string_sprintf("scanner failed: %s", line));
 
   default: /* VIR */
@@ -397,7 +349,7 @@ switch (*line)
        return OK;
        }
       }
-    return m_errlog_defer(scanent,
+    return m_errlog_defer(scanent, NULL,
       string_sprintf("malformed reply received: %s", line));
   }
 }
@@ -426,6 +378,26 @@ if (mksd_read_lines (sock, av_buffer, sizeof (av_buffer), tmo) < 0)
 return mksd_parse_line (scanent, CS av_buffer);
 }
 
+
+static int
+clamd_option(clamd_address * cd, const uschar * optstr, int * subsep)
+{
+uschar * s;
+
+cd->retry = 0;
+while ((s = string_nextinlist(&optstr, subsep, NULL, 0)))
+  if (Ustrncmp(s, "retry=", 6) == 0)
+    {
+    int sec = readconf_readtime((s += 6), '\0', FALSE);
+    if (sec < 0)
+      return FAIL;
+    cd->retry = sec;
+    }
+  else
+    return FAIL;
+return OK;
+}
+
 /*************************************************
 *          Scan content for malware              *
 *************************************************/
@@ -447,7 +419,7 @@ malware_internal(const uschar * malware_re, const uschar * eml_filename,
   int timeout, BOOL faking)
 {
 int sep = 0;
-uschar *av_scanner_work = av_scanner;
+const uschar *av_scanner_work = av_scanner;
 uschar *scanner_name;
 unsigned long mbox_size;
 FILE *mbox_file;
@@ -518,7 +490,8 @@ if (!malware_ok)
   if (!timeout) timeout = MALWARE_TIMEOUT;
   tmo = time(NULL) + timeout;
 
-  for (scanent = m_scans; ; scanent++) {
+  for (scanent = m_scans; ; scanent++)
+    {
     if (!scanent->name)
       return malware_errlog_defer(string_sprintf("unknown scanner type '%s'",
        scanner_name));
@@ -530,13 +503,13 @@ if (!malware_ok)
       break;
     switch(scanent->conn)
     {
-    case MC_TCP:  sock = m_tcpsocket_fromdef(scanner_options, &errstr); break;
-    case MC_UNIX: sock = m_unixsocket(scanner_options, &errstr);         break;
-    case MC_STRM: sock = m_streamsocket(scanner_options, &errstr);       break;
+    case MC_TCP:  sock = ip_tcpsocket(scanner_options, &errstr, 5);      break;
+    case MC_UNIX: sock = ip_unixsocket(scanner_options, &errstr);        break;
+    case MC_STRM: sock = ip_streamsocket(scanner_options, &errstr, 5);  break;
     default: /* compiler quietening */ break;
     }
     if (sock < 0)
-      return m_errlog_defer(scanent, errstr);
+      return m_errlog_defer(scanent, CUS callout_address, errstr);
     break;
   }
   DEBUG(D_acl) debug_printf("Malware scan: %s tmo %s\n", scanner_name, readconf_printtime(timeout));
@@ -567,7 +540,7 @@ if (!malware_ok)
 
       /* send scan request */
       if (m_sock_send(sock, scanrequest, Ustrlen(scanrequest)+1, &errstr) < 0)
-       return m_errlog_defer(scanent, errstr);
+       return m_errlog_defer(scanent, CUS callout_address, errstr);
 
       while ((len = recv_line(sock, buf, sizeof(buf), tmo)) >= 0)
        if (len > 0)
@@ -616,7 +589,7 @@ if (!malware_ok)
        {
        /* calc file size */
        if ((drweb_fd = open(CCS eml_filename, O_RDONLY)) == -1)
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, NULL,
            string_sprintf("can't open spool file %s: %s",
              eml_filename, strerror(errno)),
            sock);
@@ -625,7 +598,7 @@ if (!malware_ok)
          {
          int err = errno;
          (void)close(drweb_fd);
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, NULL,
            string_sprintf("can't seek spool file %s: %s",
              eml_filename, strerror(err)),
            sock);
@@ -634,7 +607,7 @@ if (!malware_ok)
        if ((off_t)fsize_uint != fsize)
          {
          (void)close(drweb_fd);
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, NULL,
            string_sprintf("seeking spool file %s, size overflow",
              eml_filename),
            sock);
@@ -652,7 +625,7 @@ if (!malware_ok)
            (send(sock, &drweb_slen, sizeof(drweb_slen), 0) < 0))
          {
          (void)close(drweb_fd);
-         return m_errlog_defer_3(scanent, string_sprintf(
+         return m_errlog_defer_3(scanent, CUS callout_address, string_sprintf(
            "unable to send commands to socket (%s)", scanner_options),
            sock);
          }
@@ -660,7 +633,7 @@ if (!malware_ok)
        if (!(drweb_fbuf = (uschar *) malloc (fsize_uint)))
          {
          (void)close(drweb_fd);
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, NULL,
            string_sprintf("unable to allocate memory %u for file (%s)",
              fsize_uint, eml_filename),
            sock);
@@ -671,7 +644,7 @@ if (!malware_ok)
          int err = errno;
          (void)close(drweb_fd);
          free(drweb_fbuf);
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, NULL,
            string_sprintf("can't read spool file %s: %s",
              eml_filename, strerror(err)),
            sock);
@@ -682,11 +655,10 @@ if (!malware_ok)
        if (send(sock, drweb_fbuf, fsize, 0) < 0)
          {
          free(drweb_fbuf);
-         return m_errlog_defer_3(scanent, string_sprintf(
+         return m_errlog_defer_3(scanent, CUS callout_address, string_sprintf(
            "unable to send file body to socket (%s)", scanner_options),
            sock);
          }
-       (void)close(drweb_fd);
        }
       else
        {
@@ -701,19 +673,19 @@ if (!malware_ok)
            (send(sock, &drweb_slen, sizeof(drweb_slen), 0) < 0) ||
            (send(sock, eml_filename, Ustrlen(eml_filename), 0) < 0) ||
            (send(sock, &drweb_fin, sizeof(drweb_fin), 0) < 0))
-         return m_errlog_defer_3(scanent, string_sprintf(
+         return m_errlog_defer_3(scanent, CUS callout_address, string_sprintf(
            "unable to send commands to socket (%s)", scanner_options),
            sock);
        }
 
       /* wait for result */
       if (!recv_len(sock, &drweb_rc, sizeof(drweb_rc), tmo))
-       return m_errlog_defer_3(scanent,
+       return m_errlog_defer_3(scanent, CUS callout_address,
                    US"unable to read return code", sock);
       drweb_rc = ntohl(drweb_rc);
 
       if (!recv_len(sock, &drweb_vnum, sizeof(drweb_vnum), tmo))
-       return m_errlog_defer_3(scanent,
+       return m_errlog_defer_3(scanent, CUS callout_address,
                            US"unable to read the number of viruses", sock);
       drweb_vnum = ntohl(drweb_vnum);
 
@@ -735,14 +707,14 @@ if (!malware_ok)
          int size = 0, off = 0, ovector[10*3];
          /* read the size of report */
          if (!recv_len(sock, &drweb_slen, sizeof(drweb_slen), tmo))
-           return m_errlog_defer_3(scanent,
+           return m_errlog_defer_3(scanent, CUS callout_address,
                              US"cannot read report size", sock);
          drweb_slen = ntohl(drweb_slen);
          tmpbuf = store_get(drweb_slen);
 
          /* read report body */
          if (!recv_len(sock, tmpbuf, drweb_slen, tmo))
-           return m_errlog_defer_3(scanent,
+           return m_errlog_defer_3(scanent, CUS callout_address,
                              US"cannot read report string", sock);
          tmpbuf[drweb_slen] = '\0';
 
@@ -780,7 +752,7 @@ if (!malware_ok)
         * DERR_CRC_ERROR, DERR_READSOCKET, DERR_WRITE_ERR
         * and others are ignored */
        if (drweb_s)
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, CUS callout_address,
            string_sprintf("drweb daemon retcode 0x%x (%s)", drweb_rc, drweb_s),
            sock);
 
@@ -800,7 +772,7 @@ if (!malware_ok)
       recv_line(sock, buf, sizeof(buf), tmo);
 
       if (buf[0] != '2')               /* aveserver is having problems */
-       return m_errlog_defer_3(scanent,
+       return m_errlog_defer_3(scanent, CUS callout_address,
          string_sprintf("unavailable (Responded: %s).",
                          ((buf[0] != 0) ? buf : (uschar *)"nothing") ),
          sock);
@@ -813,7 +785,7 @@ if (!malware_ok)
       DEBUG(D_acl) debug_printf("Malware scan: issuing %s %s\n",
        scanner_name, buf);
       if (m_sock_send(sock, buf, Ustrlen(buf), &errstr) < 0)
-       return m_errlog_defer(scanent, errstr);
+       return m_errlog_defer(scanent, CUS callout_address, errstr);
 
       malware_name = NULL;
       result = 0;
@@ -824,7 +796,7 @@ if (!malware_ok)
          break;
        if (buf[0] == '5')              /* aveserver is having problems */
          {
-         result = m_errlog_defer(scanent,
+         result = m_errlog_defer(scanent, CUS callout_address,
             string_sprintf("unable to scan file %s (Responded: %s).",
                             eml_filename, buf));
          break;
@@ -838,14 +810,14 @@ if (!malware_ok)
        }
 
       if (m_sock_send(sock, US"quit\r\n", 6, &errstr) < 0)
-       return m_errlog_defer(scanent, errstr);
+       return m_errlog_defer(scanent, CUS callout_address, errstr);
 
       /* read aveserver's greeting and see if it is ready (2xx greeting) */
       buf[0] = 0;
       recv_line(sock, buf, sizeof(buf), tmo);
 
       if (buf[0] != '2')               /* aveserver is having problems */
-       return m_errlog_defer_3(scanent,
+       return m_errlog_defer_3(scanent, CUS callout_address,
          string_sprintf("unable to quit dialogue (Responded: %s).",
                        ((buf[0] != 0) ? buf : (uschar *)"nothing") ),
          sock);
@@ -878,12 +850,12 @@ if (!malware_ok)
        {
 
        if (m_sock_send(sock, cmdopt[i], Ustrlen(cmdopt[i]), &errstr) < 0)
-         return m_errlog_defer(scanent, errstr);
+         return m_errlog_defer(scanent, CUS callout_address, errstr);
 
        bread = ip_recv(sock, av_buffer, sizeof(av_buffer), tmo-time(NULL));
        if (bread > 0) av_buffer[bread]='\0';
        if (bread < 0)
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, CUS callout_address,
            string_sprintf("unable to read answer %d (%s)", i, strerror(errno)),
            sock);
        for (j = 0; j < bread; j++)
@@ -895,7 +867,7 @@ if (!malware_ok)
       file_name = string_sprintf("SCAN\t%s\n", eml_filename);
 
       if (m_sock_send(sock, file_name, Ustrlen(file_name), &errstr) < 0)
-       return m_errlog_defer(scanent, errstr);
+       return m_errlog_defer(scanent, CUS callout_address, errstr);
 
       /* set up match */
       /* todo also SUSPICION\t */
@@ -910,14 +882,14 @@ if (!malware_ok)
 
        for (;;)
          {
-         errno = ETIME;
+         errno = ETIMEDOUT;
          i =  av_buffer+sizeof(av_buffer)-p;
          if ((bread= ip_recv(sock, p, i-1, tmo-time(NULL))) < 0)
-           return m_errlog_defer_3(scanent,
+           return m_errlog_defer_3(scanent, CUS callout_address,
              string_sprintf("unable to read result (%s)", strerror(errno)),
              sock);
 
-         for (p[bread] = '\0'; q = strchr(p, '\n'); p = q+1)
+         for (p[bread] = '\0'; (q = Ustrchr(p, '\n')); p = q+1)
            {
            *q = '\0';
 
@@ -947,7 +919,8 @@ if (!malware_ok)
       uschar tmpbuf[1024];
       uschar * scanrequest;
       int kav_rc;
-      unsigned long kav_reportlen, bread;
+      unsigned long kav_reportlen;
+      int bread;
       const pcre *kav_re;
       uschar *p;
 
@@ -970,11 +943,11 @@ if (!malware_ok)
 
       /* send scan request */
       if (m_sock_send(sock, scanrequest, Ustrlen(scanrequest)+1, &errstr) < 0)
-       return m_errlog_defer(scanent, errstr);
+       return m_errlog_defer(scanent, CUS callout_address, errstr);
 
       /* wait for result */
       if (!recv_len(sock, tmpbuf, 2, tmo))
-       return m_errlog_defer_3(scanent,
+       return m_errlog_defer_3(scanent, CUS callout_address,
                            US"unable to read 2 bytes from socket.", sock);
 
       /* get errorcode from one nibble */
@@ -982,14 +955,14 @@ if (!malware_ok)
       switch(kav_rc)
       {
       case 5: case 6: /* improper kavdaemon configuration */
-       return m_errlog_defer_3(scanent,
+       return m_errlog_defer_3(scanent, CUS callout_address,
                US"please reconfigure kavdaemon to NOT disinfect or remove infected files.",
                sock);
       case 1:
-       return m_errlog_defer_3(scanent,
+       return m_errlog_defer_3(scanent, CUS callout_address,
                US"reported 'scanning not completed' (code 1).", sock);
       case 7:
-       return m_errlog_defer_3(scanent,
+       return m_errlog_defer_3(scanent, CUS callout_address,
                US"reported 'kavdaemon damaged' (code 7).", sock);
       }
 
@@ -1011,7 +984,7 @@ if (!malware_ok)
          {
          /* read report size */
          if (!recv_len(sock, &kav_reportlen, 4, tmo))
-           return m_errlog_defer_3(scanent,
+           return m_errlog_defer_3(scanent, CUS callout_address,
                  US"cannot read report size", sock);
 
          /* it's possible that avp returns av_buffer[1] == 1 but the
@@ -1068,19 +1041,19 @@ if (!malware_ok)
       uschar *p;
 
       if (!cmdline_scanner)
-       return m_errlog_defer(scanent, errstr);
+       return m_errlog_defer(scanent, NULL, errstr);
 
       /* find scanner output trigger */
       cmdline_trigger_re = m_pcre_nextinlist(&av_scanner_work, &sep,
                                "missing trigger specification", &errstr);
       if (!cmdline_trigger_re)
-       return m_errlog_defer(scanent, errstr);
+       return m_errlog_defer(scanent, NULL, errstr);
 
       /* find scanner name regex */
       cmdline_regex_re = m_pcre_nextinlist(&av_scanner_work, &sep,
                          "missing virus name regex specification", &errstr);
       if (!cmdline_regex_re)
-       return m_errlog_defer(scanent, errstr);
+       return m_errlog_defer(scanent, NULL, errstr);
 
       /* prepare scanner call; despite the naming, file_name holds a directory
       name which is documented as the value given to %s. */
@@ -1105,7 +1078,7 @@ if (!malware_ok)
        {
        int err = errno;
        signal(SIGCHLD,eximsigchld); signal(SIGPIPE,eximsigpipe);
-       return m_errlog_defer(scanent,
+       return m_errlog_defer(scanent, NULL,
          string_sprintf("call (%s) failed: %s.", commandline, strerror(err)));
        }
       scanner_fd = fileno(scanner_out);
@@ -1118,7 +1091,7 @@ if (!malware_ok)
        int err = errno;
        (void) pclose(scanner_out);
        signal(SIGCHLD,eximsigchld); signal(SIGPIPE,eximsigpipe);
-       return m_errlog_defer(scanent, string_sprintf(
+       return m_errlog_defer(scanent, NULL, string_sprintf(
            "opening scanner output file (%s) failed: %s.",
            file_name, strerror(err)));
        }
@@ -1128,24 +1101,23 @@ if (!malware_ok)
                      sizeof(linebuffer), tmo)))
        {
        if (rcnt < 0)
+         {
+         int err = errno;
          if (rcnt == -1)
            break;
-         else
-           {
-           int err = errno;
-           (void) pclose(scanner_out);
-           signal(SIGCHLD,eximsigchld); signal(SIGPIPE,eximsigpipe);
-           return m_errlog_defer(scanent, string_sprintf(
-               "unable to read from scanner (%s): %s",
-               commandline, strerror(err)));
-           }
+         (void) pclose(scanner_out);
+         signal(SIGCHLD,eximsigchld); signal(SIGPIPE,eximsigpipe);
+         return m_errlog_defer(scanent, NULL, string_sprintf(
+             "unable to read from scanner (%s): %s",
+             commandline, strerror(err)));
+         }
 
        if (Ustrlen(linebuffer) > fwrite(linebuffer, 1, Ustrlen(linebuffer), scanner_record))
          {
          /* short write */
          (void) pclose(scanner_out);
          signal(SIGCHLD,eximsigchld); signal(SIGPIPE,eximsigpipe);
-         return m_errlog_defer(scanent, string_sprintf(
+         return m_errlog_defer(scanent, NULL, string_sprintf(
            "short write on scanner output file (%s).", file_name));
          }
        putc('\n', scanner_record);
@@ -1160,7 +1132,7 @@ if (!malware_ok)
       sep = pclose(scanner_out);
       signal(SIGCHLD,eximsigchld); signal(SIGPIPE,eximsigpipe);
       if (sep != 0)
-         return m_errlog_defer(scanent,
+         return m_errlog_defer(scanent, NULL, 
              sep == -1
              ? string_sprintf("running scanner failed: %s", strerror(sep))
              : string_sprintf("scanner returned error code: %d", sep));
@@ -1204,14 +1176,14 @@ if (!malware_ok)
       if (  write(sock, file_name, Ustrlen(file_name)) < 0
         || write(sock, "\n", 1) != 1
         )
-       return m_errlog_defer_3(scanent,
+       return m_errlog_defer_3(scanent, CUS callout_address,
          string_sprintf("unable to write to UNIX socket (%s)", scanner_options),
          sock);
 
       /* wait for result */
       memset(av_buffer, 0, sizeof(av_buffer));
       if ((bread = ip_recv(sock, av_buffer, sizeof(av_buffer), tmo-time(NULL))) <= 0)
-       return m_errlog_defer_3(scanent,
+       return m_errlog_defer_3(scanent, CUS callout_address,
          string_sprintf("unable to read from UNIX socket (%s)", scanner_options),
          sock);
 
@@ -1223,7 +1195,8 @@ if (!malware_ok)
        malware_name = string_copy(&av_buffer[2]);
       }
       else if (!strncmp(CS av_buffer, "-1", 2))
-       return m_errlog_defer_3(scanent, US"scanner reported error", sock);
+       return m_errlog_defer_3(scanent, CUS callout_address,
+               US"scanner reported error", sock);
       else /* all ok, no virus */
        malware_name = NULL;
 
@@ -1244,7 +1217,7 @@ if (!malware_ok)
 * WITH_OLD_CLAMAV_STREAM is defined.
 * See Exim bug 926 for details.  */
 
-      uschar *p, *vname, *result_tag, *response_end;
+      uschar *p, *vname, *result_tag;
       int bread=0;
       uschar * file_name;
       uschar av_buffer[1024];
@@ -1255,8 +1228,7 @@ if (!malware_ok)
       off_t fsize;
       unsigned int fsize_uint;
       BOOL use_scan_command = FALSE;
-      clamd_address_container * clamd_address_vector[MAX_CLAMD_SERVERS];
-      int current_server;
+      clamd_address * cv[MAX_CLAMD_SERVERS];
       int num_servers = 0;
 #ifdef WITH_OLD_CLAMAV_STREAM
       unsigned int port;
@@ -1266,67 +1238,97 @@ if (!malware_ok)
       uint32_t send_size, send_final_zeroblock;
 #endif
 
+      /*XXX if unixdomain socket, only one server supported. Needs fixing;
+      there's no reason we should not mix local and remote servers */
+
       if (*scanner_options == '/')
+       {
+       clamd_address * cd;
+       const uschar * sublist;
+       int subsep = ' ';
+
        /* Local file; so we def want to use_scan_command and don't want to try
         * passing IP/port combinations */
        use_scan_command = TRUE;
+       cd = (clamd_address *) store_get(sizeof(clamd_address));
+
+       /* extract socket-path part */
+       sublist = scanner_options;
+       cd->hostspec = string_nextinlist(&sublist, &subsep, NULL, 0);
+
+       /* parse options */
+       if (clamd_option(cd, sublist, &subsep) != OK)
+         return m_errlog_defer(scanent, NULL,
+           string_sprintf("bad option '%s'", scanner_options));
+       cv[0] = cd;
+       }
       else
        {
-       const uschar *address = scanner_options;
-       uschar address_buffer[MAX_CLAMD_ADDRESS_LENGTH + 20];
-
        /* Go through the rest of the list of host/port and construct an array
         * of servers to try. The first one is the bit we just passed from
         * scanner_options so process that first and then scan the remainder of
         * the address buffer */
        do
          {
-         clamd_address_container *this_clamd;
+         clamd_address * cd;
+         const uschar * sublist;
+         int subsep = ' ';
+         uschar * s;
 
          /* The 'local' option means use the SCAN command over the network
           * socket (ie common file storage in use) */
-         if (strcmpic(address,US"local") == 0)
+         /*XXX we could accept this also as a local option? */
+         if (strcmpic(scanner_options, US"local") == 0)
            {
            use_scan_command = TRUE;
            continue;
            }
 
-         /* XXX: If unsuccessful we should free this memory */
-         this_clamd =
-             (clamd_address_container *)store_get(sizeof(clamd_address_container));
+         cd = (clamd_address *) store_get(sizeof(clamd_address));
 
          /* extract host and port part */
-         if( sscanf(CS address, "%" MAX_CLAMD_ADDRESS_LENGTH_S "s %u",
-                this_clamd->tcp_addr, &(this_clamd->tcp_port)) != 2 )
+         sublist = scanner_options;
+         if (!(cd->hostspec = string_nextinlist(&sublist, &subsep, NULL, 0)))
+           {
+           (void) m_errlog_defer(scanent, NULL, 
+                     string_sprintf("missing address: '%s'", scanner_options));
+           continue;
+           }
+         if (!(s = string_nextinlist(&sublist, &subsep, NULL, 0)))
            {
-           (void) m_errlog_defer(scanent,
-                       string_sprintf("invalid address '%s'", address));
+           (void) m_errlog_defer(scanent, NULL, 
+                     string_sprintf("missing port: '%s'", scanner_options));
            continue;
            }
+         cd->tcp_port = atoi(CS s);
 
-         clamd_address_vector[num_servers] = this_clamd;
-         num_servers++;
+         /* parse options */
+         /*XXX should these options be common over scanner types? */
+         if (clamd_option(cd, sublist, &subsep) != OK)
+           return m_errlog_defer(scanent, NULL,
+             string_sprintf("bad option '%s'", scanner_options));
+
+         cv[num_servers++] = cd;
          if (num_servers >= MAX_CLAMD_SERVERS)
            {
-           (void) m_errlog_defer(scanent,
+           (void) m_errlog_defer(scanent, NULL,
                  US"More than " MAX_CLAMD_SERVERS_S " clamd servers "
                  "specified; only using the first " MAX_CLAMD_SERVERS_S );
            break;
            }
-         } while ((address = string_nextinlist(&av_scanner_work, &sep,
-                                       address_buffer,
-                                       sizeof(address_buffer))) != NULL);
+         } while ((scanner_options = string_nextinlist(&av_scanner_work, &sep,
+                                       NULL, 0)));
 
        /* check if we have at least one server */
        if (!num_servers)
-         return m_errlog_defer(scanent,
+         return m_errlog_defer(scanent, NULL,
            US"no useable server addresses in malware configuration option.");
        }
 
       /* See the discussion of response formats below to see why we really
       don't like colons in filenames when passing filenames to ClamAV. */
       if (use_scan_command && Ustrchr(eml_filename, ':'))
-       return m_errlog_defer(scanent,
+       return m_errlog_defer(scanent, NULL,
          string_sprintf("local/SCAN mode incompatible with" \
            " : in path to email filename [%s]", eml_filename));
 
@@ -1339,43 +1341,52 @@ if (!malware_ok)
 
        while (num_servers > 0)
          {
-         int i;
-         /* Randomly pick a server to start with */
-         current_server = random_number( num_servers );
+         int i = random_number( num_servers );
+         clamd_address * cd = cv[i];
 
-         DEBUG(D_acl)
-           debug_printf("trying server name %s, port %u\n",
-                      clamd_address_vector[current_server]->tcp_addr,
-                      clamd_address_vector[current_server]->tcp_port);
+         DEBUG(D_acl) debug_printf("trying server name %s, port %u\n",
+                        cd->hostspec, cd->tcp_port);
 
          /* Lookup the host. This is to ensure that we connect to the same IP
           * on both connections (as one host could resolve to multiple ips) */
-         sock= m_tcpsocket(clamd_address_vector[current_server]->tcp_addr,
-                             clamd_address_vector[current_server]->tcp_port,
-                             &connhost, &errstr);
-         if (sock >= 0)
+         for (;;)
            {
-           /* Connection successfully established with a server */
-           hostname = clamd_address_vector[current_server]->tcp_addr;
-           break;
+           sock= m_tcpsocket(cd->hostspec, cd->tcp_port, &connhost, &errstr);
+           if (sock >= 0)
+             {
+             /* Connection successfully established with a server */
+             hostname = cd->hostspec;
+             break;
+             }
+           if (cd->retry <= 0) break;
+           while (cd->retry > 0) cd->retry = sleep(cd->retry);
            }
+         if (sock >= 0)
+           break;
 
-         (void) m_errlog_defer(scanent, errstr);
+         (void) m_errlog_defer(scanent, CUS callout_address, errstr);
 
          /* Remove the server from the list. XXX We should free the memory */
          num_servers--;
-         for (i = current_server; i < num_servers; i++)
-           clamd_address_vector[i] = clamd_address_vector[i+1];
+         for (; i < num_servers; i++)
+           cv[i] = cv[i+1];
          }
 
        if (num_servers == 0)
-         return m_errlog_defer(scanent, US"all servers failed");
+         return m_errlog_defer(scanent, NULL, US"all servers failed");
        }
       else
-       {
-       if ((sock = m_unixsocket(scanner_options, &errstr)) < 0)
-         return m_errlog_defer(scanent, errstr);
-       }
+       for (;;)
+         {
+         if ((sock = ip_unixsocket(cv[0]->hostspec, &errstr)) >= 0)
+           {
+           hostname = cv[0]->hostspec;
+           break;
+           }
+         if (cv[0]->retry <= 0)
+           return m_errlog_defer(scanent, CUS callout_address, errstr);
+         while (cv[0]->retry > 0) cv[0]->retry = sleep(cv[0]->retry);
+         }
 
       /* have socket in variable "sock"; command to use is semi-independent of
        * the socket protocol.  We use SCAN if is local (either Unix/local
@@ -1395,33 +1406,35 @@ if (!malware_ok)
 
        /* Pass the string to ClamAV (7 = "STREAM\n") */
        if (m_sock_send(sock, US"STREAM\n", 7, &errstr) < 0)
-         return m_errlog_defer(scanent, errstr);
+         return m_errlog_defer(scanent, CUS callout_address, errstr);
 
        memset(av_buffer2, 0, sizeof(av_buffer2));
        bread = ip_recv(sock, av_buffer2, sizeof(av_buffer2), tmo-time(NULL));
 
        if (bread < 0)
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, CUS callout_address,
            string_sprintf("unable to read PORT from socket (%s)",
                strerror(errno)),
            sock);
 
        if (bread == sizeof(av_buffer2))
-         return m_errlog_defer_3(scanent, "buffer too small", sock);
+         return m_errlog_defer_3(scanent, CUS callout_address,
+                 "buffer too small", sock);
 
        if (!(*av_buffer2))
-         return m_errlog_defer_3(scanent, "ClamAV returned null", sock);
+         return m_errlog_defer_3(scanent, CUS callout_address,
+                 "ClamAV returned null", sock);
 
        av_buffer2[bread] = '\0';
        if( sscanf(CS av_buffer2, "PORT %u\n", &port) != 1 )
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, CUS callout_address,
            string_sprintf("Expected port information from clamd, got '%s'",
              av_buffer2),
            sock);
 
        sockData = m_tcpsocket(connhost.address, port, NULL, &errstr);
        if (sockData < 0)
-         return m_errlog_defer_3(scanent, errstr, sock);
+         return m_errlog_defer_3(scanent, CUS callout_address, errstr, sock);
 
 # define CLOSE_SOCKDATA (void)close(sockData)
 #else /* WITH_OLD_CLAMAV_STREAM not defined */
@@ -1435,7 +1448,7 @@ if (!malware_ok)
 
        /* Pass the string to ClamAV (10 = "zINSTREAM\0") */
        if (send(sock, "zINSTREAM", 10, 0) < 0)
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, CUS hostname,
            string_sprintf("unable to send zINSTREAM to socket (%s)",
              strerror(errno)),
            sock);
@@ -1448,7 +1461,7 @@ if (!malware_ok)
          {
          int err = errno;
          CLOSE_SOCKDATA;
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, NULL,
            string_sprintf("can't open spool file %s: %s",
              eml_filename, strerror(err)),
            sock);
@@ -1457,7 +1470,7 @@ if (!malware_ok)
          {
          int err = errno;
          CLOSE_SOCKDATA; (void)close(clam_fd);
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, NULL,
            string_sprintf("can't seek spool file %s: %s",
              eml_filename, strerror(err)),
            sock);
@@ -1466,7 +1479,7 @@ if (!malware_ok)
        if ((off_t)fsize_uint != fsize)
          {
          CLOSE_SOCKDATA; (void)close(clam_fd);
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, NULL,
            string_sprintf("seeking spool file %s, size overflow",
              eml_filename),
            sock);
@@ -1476,7 +1489,7 @@ if (!malware_ok)
        if (!(clamav_fbuf = (uschar *) malloc (fsize_uint)))
          {
          CLOSE_SOCKDATA; (void)close(clam_fd);
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, NULL,
            string_sprintf("unable to allocate memory %u for file (%s)",
              fsize_uint, eml_filename),
            sock);
@@ -1486,7 +1499,7 @@ if (!malware_ok)
          {
          int err = errno;
          free(clamav_fbuf); CLOSE_SOCKDATA; (void)close(clam_fd);
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, NULL,
            string_sprintf("can't read spool file %s: %s",
              eml_filename, strerror(err)),
            sock);
@@ -1498,7 +1511,7 @@ if (!malware_ok)
        if (send(sockData, clamav_fbuf, fsize_uint, 0) < 0)
          {
          free(clamav_fbuf); CLOSE_SOCKDATA;
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, NULL,
            string_sprintf("unable to send file body to socket (%s:%u)",
              hostname, port),
            sock);
@@ -1511,7 +1524,7 @@ if (!malware_ok)
            (send(sock, &send_final_zeroblock, sizeof(send_final_zeroblock), 0) < 0))
          {
          free(clamav_fbuf);
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, NULL,
            string_sprintf("unable to send file body to socket (%s)", hostname),
            sock);
          }
@@ -1545,7 +1558,7 @@ if (!malware_ok)
            scanner_name, scanner_options);
 
        if (send(sock, file_name, Ustrlen(file_name), 0) < 0)
-         return m_errlog_defer_3(scanent,
+         return m_errlog_defer_3(scanent, CUS callout_address,
            string_sprintf("unable to write to socket (%s)", strerror(errno)),
            sock);
 
@@ -1562,12 +1575,13 @@ if (!malware_ok)
       sock = -1;
 
       if (bread <= 0)
-       return m_errlog_defer(scanent,
+       return m_errlog_defer(scanent, CUS callout_address,
          string_sprintf("unable to read from socket (%s)",
          errno == 0 ? "EOF" : strerror(errno)));
 
       if (bread == sizeof(av_buffer))
-       return m_errlog_defer(scanent, US"buffer too small");
+       return m_errlog_defer(scanent, CUS callout_address,
+               US"buffer too small");
       /* We're now assured of a NULL at the end of av_buffer */
 
       /* Check the result. ClamAV returns one of two result formats.
@@ -1591,7 +1605,8 @@ if (!malware_ok)
       passing a filename to clamd). */
 
       if (!(*av_buffer))
-       return m_errlog_defer(scanent, US"ClamAV returned null");
+       return m_errlog_defer(scanent, CUS callout_address,
+               US"ClamAV returned null");
 
       /* strip newline at the end (won't be present for zINSTREAM)
       (also any trailing whitespace, which shouldn't exist, but we depend upon
@@ -1604,11 +1619,10 @@ if (!malware_ok)
       while (isspace(*--p) && (p > av_buffer))
        *p = '\0';
       if (*p) ++p;
-      response_end = p;
 
       /* colon in returned output? */
-      if((p = Ustrchr(av_buffer,':')) == NULL)
-       return m_errlog_defer(scanent, string_sprintf(
+      if(!(p = Ustrchr(av_buffer,':')))
+       return m_errlog_defer(scanent, CUS callout_address, string_sprintf(
                  "ClamAV returned malformed result (missing colon): %s",
                  av_buffer));
 
@@ -1641,7 +1655,7 @@ if (!malware_ok)
 
        }
       else if (Ustrcmp(result_tag, "ERROR") == 0)
-       return m_errlog_defer(scanent,
+       return m_errlog_defer(scanent, CUS callout_address,
          string_sprintf("ClamAV returned: %s", av_buffer));
 
       else if (Ustrcmp(result_tag, "OK") == 0)
@@ -1652,7 +1666,7 @@ if (!malware_ok)
 
        }
       else
-       return m_errlog_defer(scanent,
+       return m_errlog_defer(scanent, CUS callout_address,
          string_sprintf("unparseable response from ClamAV: {%s}", av_buffer));
 
       break;
@@ -1679,7 +1693,7 @@ if (!malware_ok)
        uschar * s = Ustrchr(sockline_scanner, '%');
        if (s++)
          if ((*s != 's' && *s != '%') || Ustrchr(s+1, '%'))
-           return m_errlog_defer_3(scanent,
+           return m_errlog_defer_3(scanent, NULL,
                                  US"unsafe sock scanner call spec", sock);
       }
       else
@@ -1689,13 +1703,13 @@ if (!malware_ok)
       sockline_trig_re = m_pcre_nextinlist(&av_scanner_work, &sep,
                                "missing trigger specification", &errstr);
       if (!sockline_trig_re)
-       return m_errlog_defer_3(scanent, errstr, sock);
+       return m_errlog_defer_3(scanent, NULL, errstr, sock);
 
       /* find virus name regex */
       sockline_name_re = m_pcre_nextinlist(&av_scanner_work, &sep,
                          "missing virus name regex specification", &errstr);
       if (!sockline_name_re)
-       return m_errlog_defer_3(scanent, errstr, sock);
+       return m_errlog_defer_3(scanent, NULL, errstr, sock);
 
       /* prepare scanner call - security depends on expansions check above */
       commandline = string_sprintf("%s/scan/%s/%s.eml", spool_directory, message_id, message_id);
@@ -1704,18 +1718,19 @@ if (!malware_ok)
 
       /* Pass the command string to the socket */
       if (m_sock_send(sock, commandline, Ustrlen(commandline), &errstr) < 0)
-       return m_errlog_defer(scanent, errstr);
+       return m_errlog_defer(scanent, CUS callout_address, errstr);
 
       /* Read the result */
       bread = ip_recv(sock, av_buffer, sizeof(av_buffer), tmo-time(NULL));
 
       if (bread <= 0)
-       return m_errlog_defer_3(scanent,
+       return m_errlog_defer_3(scanent, CUS callout_address,
          string_sprintf("unable to read from socket (%s)", strerror(errno)),
          sock);
 
       if (bread == sizeof(av_buffer))
-       return m_errlog_defer_3(scanent, US"buffer too small", sock);
+       return m_errlog_defer_3(scanent, CUS callout_address,
+               US"buffer too small", sock);
       av_buffer[bread] = '\0';
       linebuffer = string_copy(av_buffer);
 
@@ -1744,12 +1759,12 @@ if (!malware_ok)
           || mksd_maxproc < 1
           || mksd_maxproc > 32
           )
-         return m_errlog_defer(scanent,
+         return m_errlog_defer(scanent, CUS callout_address,
            string_sprintf("invalid option '%s'", scanner_options));
        }
 
-      if((sock = m_unixsocket(US "/var/run/mksd/socket", &errstr)) < 0)
-       return m_errlog_defer(scanent, errstr);
+      if((sock = ip_unixsocket(US "/var/run/mksd/socket", &errstr)) < 0)
+       return m_errlog_defer(scanent, CUS callout_address, errstr);
 
       malware_name = NULL;
 
@@ -1793,7 +1808,7 @@ if (!malware_ok)
          )
        {
        int slen = Ustrlen(buf);
-       if (slen >= 1) 
+       if (slen >= 1)
          {
          DEBUG(D_acl) debug_printf("got from avast: %s\n", buf);
          switch (avast_stage)
@@ -1831,7 +1846,7 @@ if (!malware_ok)
              if (send(sock, scanrequest, len, 0) < 0)
                {
                scanrequest[len-1] = '\0';
-               return m_errlog_defer_3(scanent, string_sprintf(
+               return m_errlog_defer_3(scanent, CUS callout_address, string_sprintf(
                      "unable to send request '%s' to socket (%s): %s",
                      scanrequest, scanner_options, strerror(errno)), sock);
                }
@@ -1849,18 +1864,19 @@ if (!malware_ok)
              if ((malware_name = m_pcre_exec(ava_re_virus, buf)))
                { /* remove backslash in front of [whitespace|backslash] */
                uschar * p, * p0;
-               for (p = malware_name; *p; ++p) 
+               for (p = malware_name; *p; ++p)
                  if (*p == '\\' && (isspace(p[1]) || p[1] == '\\'))
                    for (p0 = p; *p0; ++p0) *p0 = p0[1];
-               
+
                avast_stage = AVA_DONE;
                goto endloop;
                }
 
-             if (Ustrncmp(buf, "200 SCAN OK", 11) == 0) 
+             if (Ustrncmp(buf, "200 SCAN OK", 11) == 0)
                { /* we're done finally */
                if (send(sock, "QUIT\n", 5, 0) < 0) /* courtesy */
-                 return m_errlog_defer_3(scanent, string_sprintf(
+                 return m_errlog_defer_3(scanent, CUS callout_address,
+                         string_sprintf(
                              "unable to send quit request to socket (%s): %s",
                              scanner_options, strerror(errno)),
                              sock);
@@ -1871,6 +1887,9 @@ if (!malware_ok)
 
              /* here for any unexpected response from the scanner */
              goto endloop;
+
+           case AVA_DONE:      log_write(0, LOG_PANIC, "%s:%d:%s: should not happen",
+                           __FILE__, __LINE__, __FUNCTION__);
            }
          }
        }
@@ -1878,9 +1897,9 @@ if (!malware_ok)
 
       switch(avast_stage)
        {
-       case AVA_HELO:  
+       case AVA_HELO:
        case AVA_OPT:
-       case AVA_RSP:   return m_errlog_defer_3(scanent,
+       case AVA_RSP:   return m_errlog_defer_3(scanent, CUS callout_address,
                            nread >= 0
                            ? string_sprintf(
                                "invalid response from scanner: '%s'", buf)
@@ -1928,15 +1947,15 @@ Returns:      Exim message processing code (OK, FAIL, DEFER, ...)
 int
 malware(const uschar * malware_re, int timeout)
 {
-  uschar * scan_filename;
-  int ret;
+uschar * scan_filename;
+int ret;
 
-  scan_filename = string_sprintf("%s/scan/%s/%s.eml",
-                   spool_directory, message_id, message_id);
-  ret = malware_internal(malware_re, scan_filename, timeout, FALSE);
-  if (ret == DEFER) av_failed = TRUE;
+scan_filename = string_sprintf("%s/scan/%s/%s.eml",
+                 spool_directory, message_id, message_id);
+ret = malware_internal(malware_re, scan_filename, timeout, FALSE);
+if (ret == DEFER) av_failed = TRUE;
 
-  return ret;
+return ret;
 }
 
 
@@ -1958,32 +1977,35 @@ Returns:        Exim message processing code (OK, FAIL, DEFER, ...)
 int
 malware_in_file(uschar *eml_filename)
 {
-  uschar message_id_buf[64];
-  int ret;
-
-  /* spool_mbox() assumes various parameters exist, when creating
-  the relevant directory and the email within */
-  (void) string_format(message_id_buf, sizeof(message_id_buf),
-      "dummy-%d", vaguely_random_number(INT_MAX));
-  message_id = message_id_buf;
-  sender_address = US"malware-sender@example.net";
-  return_path = US"";
-  recipients_list = NULL;
-  receive_add_recipient(US"malware-victim@example.net", -1);
-  enable_dollar_recipients = TRUE;
-
-  ret = malware_internal(US"*", eml_filename, 0,  TRUE);
-
-  Ustrncpy(spooled_message_id, message_id, sizeof(spooled_message_id));
-  spool_mbox_ok = 1;
-  /* don't set no_mbox_unspool; at present, there's no way for it to become
-  set, but if that changes, then it should apply to these tests too */
-  unspool_mbox();
-
-  /* silence static analysis tools */
-  message_id = NULL;
-
-  return ret;
+uschar message_id_buf[64];
+int ret;
+
+/* spool_mbox() assumes various parameters exist, when creating
+the relevant directory and the email within */
+
+(void) string_format(message_id_buf, sizeof(message_id_buf),
+    "dummy-%d", vaguely_random_number(INT_MAX));
+message_id = message_id_buf;
+sender_address = US"malware-sender@example.net";
+return_path = US"";
+recipients_list = NULL;
+receive_add_recipient(US"malware-victim@example.net", -1);
+enable_dollar_recipients = TRUE;
+
+ret = malware_internal(US"*", eml_filename, 0,  TRUE);
+
+Ustrncpy(spooled_message_id, message_id, sizeof(spooled_message_id));
+spool_mbox_ok = 1;
+
+/* don't set no_mbox_unspool; at present, there's no way for it to become
+set, but if that changes, then it should apply to these tests too */
+
+unspool_mbox();
+
+/* silence static analysis tools */
+message_id = NULL;
+
+return ret;
 }