GnuTLS 3.6.7 cipher strings
(cherry picked from commits d9acfc1ce6, 57eb2f6463, b9c6f63cd5)

WARNING: This changes user-visible and configuration-visible behaviour.
 Read the ChangeLog!
(cherry picked from commit 656b804e099a4704bd6071241a85bc1e0cc85887)
(cherry picked from commit bf9375eaa85bfa0dbb973aa03accbe5f21808732)

Testsuite: output changes resulting

Broken-by: 67ea939cf0
(cherry picked from commit 42e0d3fe36ac7270609a3389f5204a252bcf7d79)
(cherry picked from commit 62e8cac93cff841d8d657363ece7a4367ccc94b3)
(cherry picked from commit abcd3b69cb147bb6206d5a7013b27909c1e0288a)

Docs: Remove GNUmake idioms from Makefile, give power to "mv"

On at least one *BSD system, /tmp is owned by root:wheel and
files created there are owned by <creator>:wheel. The following
mv /tmp/<tmpfile> to an existing file with other permissions fails
for the non-privileged user.

This cherry was picked just for the sake of some build farm animals.

(cherry picked from commit efab32198fdf1a469b2d8b28dcf264d6fc7b8e65)
(cherry picked from commit 8120bdf12e2008621c0a3c4f965075528a0b0005)

SPF: better buld compatibility with OpenBSD

(cherry picked from commit bda76da8a9357f4fc525b5f8b925fae262c28010)
(cherry picked from commit 804219086fe9afbc1429c309e339524aaaabcec1)
(cherry picked from commit c26e27d5b81ed5640c00ee87f1d4287fb066dc12)

Fix build with recent LibreSSL, when including DANE.  Bug 2386

(cherry picked from commit c19ab167ac and 1fbf41cdf6
(cherry picked from commit 0d82437ff97668a34a67b4ba398d1294ec016d3a)
(cherry picked from commit 09cc73f04332f420e07f4bc8bb2e2466c2460067)

Fix "-bP smtp_receive_timeout".  Bug 2384

(cherry picked from commit e6024a5e9e193f559508d05ee401ae8f7f3c25ae)
(cherry picked from commit 2cf1c24f203b3995cfa4434907cff05917a55c90)
(cherry picked from commit 9cfb6ebeb68fcefc83e261cff036aaf444d7d4c5)

Harden plaintext authenticator

Cherry-picked from: f9fc942757

(cherry picked from commit e5b942ae007d0533fbd599c64d550f3a8355b940)
(cherry picked from commit 7556111f007c98f11adfa27c492d73b775886d9d)

OpenSSL: Fix aggregation of messages.

Broken-by: a5ffa9b475
(cherry picked from commit c09dbcfb71f4b9a42cbfd8a20e0be6bfa1b12488)
(cherry picked from commit 332ebeaf8139b2b75f475880fc14b63c7c45c706)
(cherry picked from commit 1bd4207a399775cf842607930e76c14ac54327df)

Logging: fix initial listening-on log line

(cherry picked from commit 254f38d1c5ada5e4df0bccb385dc466549620c71)
(cherry picked from commit e5be948a65fe601024e5d4256f64efbfed3dd72e)
(cherry picked from commit 8b81ffe198b36c7d3dcaa1697ab71eefa78946ed)

Fix crash from SRV lookup hitting a CNAME

(cherry picked from commit 14bc9cf085aff7bd5147881e5b7068769a29b026)
(cherry picked from commit 09720dd9506176294154dad7152f5f40554046a4)
(cherry picked from commit a189eb636256833f3053d8f2fbb95e51dc0f936c)

Docs: Add note on lsearch for IPv4-mapped IPv6 addresses

Cherry-picked from: 52af443324, c77d3d85fe

(cherry picked from commit 8dde16b89efe2138f92cbfa6c59fb31dc80ec22a)
(cherry picked from commit a457174087afff3685856e295bd8ffcfefe0e05e)

Fix expansions for RFC 822 addresses having comments in local-part and/or domain.  Bug 2375

(cherry picked from commit e2ff8e24f41caca3623228b1ec66a3f3961ecad6)
(cherry picked from commit f634b80846cc7ffcab65c9855bcb35312f0232e8)
(cherry picked from commit cebd5bd2ab84c7815a9b99c0f0f16e829af7b4bc)

GnuTLS: Fix client detection of server reject of client cert under TLS1.3

(cherry picked from commit fc243e944ec00b59b75f41d07494116f925d58b4)
(cherry picked from commit c15523829ba17cce5829e2976aa1ff928965d948)
(cherry picked from commit c18e2c3b059f6bfd1c6e9a65ffc8243a4d8034fe)

Testsuite: tidying GnuTLS with TLS1.3

Cherry-picked from: 826cb8c29c,
cbe4bbb27e,
b2ba9267ab

(cherry picked from commit a74adba5fb9459ea7483a5e358d87446e159373b)
(cherry picked from commit dbf07025c150e23e3e1f4c6a382a511a2d5c5270)

Fix info on using local_scan() in the default Makefile

Broken-by: 9723f96673
(cherry picked from commit 882bc1704d33aa34873e3a0f72e657b0cc2985e5)
(cherry picked from commit cb25b75af850d664fc005d24fbad0e58bf79d4c7)
(cherry picked from commit 2c7c4a9c23950044507a78956ca2c23f9c6a9491)

Docs: update DKIM standards info

(cherry picked from commit 27d0d9e6e002b2a9ea9a053e8163523592786ab5)
(cherry picked from commit 13912bf2bc166b324a73b4b5089defa5bb698ae6)
(cherry picked from commit 294f47fdbcbf5534a266d9abfcd1ccb873aff891)

Fix transport buffer size handling

Broken-by: 59932f7dcd
(cherry picked from commit 05bf16f6217e93594929c8bbbbbc852caf3ed374)
(cherry picked from commit 1cfa7822ca8928f95160df8742af11fff888ae7e)
(cherry picked from commit 0654d3440d8735221a58f96f5343fbe243171711)

Testsuite: account for (now) properly working Perl locale

(cherry picked from commit efc8902f16c92a74d06870f2556cb36c84dd4d93)
(cherry picked from commit ec8db648d3af8af2d9e6cbd4896159235c0f1e49)
(cherry picked from commit a8761d62664f96259d815ab84a7a734829972fb3)

Fix json extract operator for unfound case

(cherry picked from commit e73798976812e652320f096870359ef35ed069ff)
(cherry picked from commit b2734f7b45111f9b7de790c7b334a2ece47675b5)
(cherry picked from commit b88b6f6f3a29b70cd0b314da8ceab18b0b34eed6)

string.c: do not interpret '\\' before '\0' (CVE-2019-15846)

Add documents about CVE-2019-15846
Add testcase for CVE-2019-15846
Update Changelog
Add Announcements

Update security contact

Add security postings for future reference

Avoid re-expansion in ${sort } CVE-2019-13917 OVE-20190718-0006

(cherry picked from commit 5c887f836e4d8e3f79da1c15565b56b40d9bd0dd)

Fix dkim_verify_signers option.  Bug 2366
Testsuite coverage by jgh.

Broken-by: d342446f29

Docs: clarify quoting for $pipe_addresses

The texinfo output version has single-quotes round a variable,
so the sentence saying "precisely the text" was difficult to
interpret.

Docs: correct spamd port

configure.default: spacing, de-tabbing

Add basic framework for PRDR use with per-user content filters to example config.

Mostly commented-out and with dummy lookups since we do not know what sorts
of filtering may be employed.

(cherry picked from commit b220576b3ba5396af6b3e0f45739f269079f8fc5)

mk_exim_release: tidy

Docs: crossref list-separator changing

Docs: crossref dlfunc API

More checks on header line length during reception

Docs: tweak TLS authenticator chapter

Docs: missing options

Broken-by: b3ef41c94a

Docs: tweak new-drivers chapter

PIPE_CONNECT: fix feature-cache refresh

Docs: clarify logging from filter

Update Changelog for GnuTLS and TLS 1.3 Bug 2359

Fix is in 4896a3192ffac48885347460377edcd893eb9600

GnuTLS: repeat lowlevel read and write operations while they request retry

(cherry picked from commit 06faf21f3a84a3ac4aa4f7b1512087423d8c8541)

mk_exim_release: more perlish

mk_exim_release: integrate signing and checksumming

DKIM: better debug for key/signature size mismatch

OpenSSL: clear any leftover errors from the stack after SSL_accept succeeds

mk_exim_release: output an useful error message when used for older versions

Older releases can't be built with the newer mk_exim_release script,
as there are interdependencies with scripts/reversion and version.sh

Recent commit is thanks to Josh Soref

I managed to drop his name, sorry for that.

Grammar changes in docs

Fix copyright year and exim website URL schema

spelling fixes

Docs: tweaks

Default config: use ROUTER_SMARTHOST macro; document

Work around the `$host` vs CNAME issue for now by re-specifying the
`tls_sni` value on the example `smarthost_smtp` transport, using the
same macro which we use to turn on use of a smarthost.

Uncomment both dnslookup and smarthost routers by default and let the
macro choose between them.

Bring the documentation of the default configuration closer to
up-to-date, on this issue and others which I spotted while in there.

stats_for_email: Do not auto-select the release directory

Re-create test/configure script

Update Changelog for Bug 2351

Log failures to extract envelope addresses from message headers.  Bug 2351

(cherry picked from commit 60c02b350a7d325e64ae0a656cfd37a9fbd162a7)

doc: gsasl: be clearer that server-side only

Fix build with content-scan enabled but all malware types disabled

Fix parsing of option type Kint (integer, stored in K).  Bug 2348

Broken-by: a45431fa71

sign_exim_package: do not auto-select the packages directory

mk_exim_release: rework for dotted release scheme

reversion: Adapt to dotted release scheme

reversion: tidy

Docs: SPF lookup type

Send delay-MDN for any queurun past delay_warning, even if not retry time yet.  Bug 2341

tidying

More debug in smtp transport

Logging: outgoing_port on temporary errors for non-last hosts

Also show nonstandard ports in process info for exiwhat

Harden string-list handling

Testsuite: handle change in GnuTLS cert preference

Testsuite: output changes resulting

Broken-by: a7a1ad1447

GnuTLS: fix build with older libraries

Broken-by: 6aac3239b4

Testsuite: regenerate CA trees with 2048-bit keys

This is to support RHEL 8.0 where OpenSSL dislikes 1024

OpenSSL: fail the handshake when SNI processing hits a problem

TLS: Increase RSA keysize of autogen selfsign cert

Testsuite: switch ciphersuite use

This is to accomodate RHEL 7, where openssl seems to not support ECDHE Kx + CAMELIA
nor any of the CHACHA20s, but does support DHE Kx + CAMELIA.

All we really wanted was something distinguishable from default
(which is commonly ECDHE-RSA-AUE256-GCM-SHA).

Testsuite: ignore OCSP option output; fixes runs on non-OCSP builds

Fix AUTH_GSASL build

Avoid leaving $domain live with bogus info, during server connection startup

Recent efforts to reduce string-copy ops while also avoiding using excessive memory
tripped a check on freeing the still-live variable.  It is unclear why the variable
was set anyway, even though commented.  The use was introduced between Exim 3.36 and 4.0

nit (typo fix; docs)

Fix cyrus-sasl authenticator for $authenticated_fail_id.  Bug 2338

Relabel for commit c0fb53b74e which which had a typo in the commit message.

Fix cyrus-sasl authenticator for $authenticated_fail_id.  Bug 2238

Docs: more on $authenticated_fail_id

Testsuite: document noisy-comment script commands

Docs: add note on manualroute route-lists

Docs: indexing of retry final-cutoff

tidying

Lose more string-copy operations

Fix growable-string sprintf

Broken-by d12746bc15

OpenBSD: bump dns-result buffer to 64kB

This just to take out a difference in testsuite behaviour.  Builds
for memory-constrained devices could legitimately use 16kB.

Recast more internal string routines to use growable-strings

tidying

Docs: Add cross-refs for $h_<name>

Testsuite: account for hostname-dependent output in debug output

Testsuite: fix testcases for /etc/services not having smtps

Docs: add notes on smtps

Testsuite: increase retry time (for really slow test host)

Testsuite: avoid time-quantization issue

Testsuite: avoid time-quantization issue

Testsuite: check for conflicting host name

tidying

Fix build on FreeBSD 11