src/src/exim.c

   1 /*************************************************
   2 *     Exim - an Internet mail transport agent    *
   3 *************************************************/
   4
   5 /* Copyright (c) University of Cambridge 1995 - 2018 */
   6 /* Copyright (c) The Exim Maintainers 2020 */
   7 /* See the file NOTICE for conditions of use and distribution. */
   8
   9
  10 /* The main function: entry point, initialization, and high-level control.
  11 Also a few functions that don't naturally fit elsewhere. */
  12
  13
  14 #include "exim.h"
  15
  16 #if defined(__GLIBC__) && !defined(__UCLIBC__)
  17 # include <gnu/libc-version.h>
  18 #endif
  19
  20 #ifdef USE_GNUTLS
  21 # include <gnutls/gnutls.h>
  22 # if GNUTLS_VERSION_NUMBER < 0x030103 && !defined(DISABLE_OCSP)
  23 #  define DISABLE_OCSP
  24 # endif
  25 #endif
  26
  27 #ifndef _TIME_H
  28 # include <time.h>
  29 #endif
  30
  31 extern void init_lookup_list(void);
  32
  33
  34
  35 /*************************************************
  36 *      Function interface to store functions     *
  37 *************************************************/
  38
  39 /* We need some real functions to pass to the PCRE regular expression library
  40 for store allocation via Exim's store manager. The normal calls are actually
  41 macros that pass over location information to make tracing easier. These
  42 functions just interface to the standard macro calls. A good compiler will
  43 optimize out the tail recursion and so not make them too expensive. There
  44 are two sets of functions; one for use when we want to retain the compiled
  45 regular expression for a long time; the other for short-term use. */
  46
  47 static void *
  48 function_store_get(size_t size)
  49 {
  50 /* For now, regard all RE results as potentially tainted.  We might need
  51 more intelligence on this point. */
  52 return store_get((int)size, TRUE);
  53 }
  54
  55 static void
  56 function_dummy_free(void *block) { block = block; }
  57
  58 static void *
  59 function_store_malloc(size_t size)
  60 {
  61 return store_malloc((int)size);
  62 }
  63
  64 static void
  65 function_store_free(void *block)
  66 {
  67 store_free(block);
  68 }
  69
  70
  71
  72
  73 /*************************************************
  74 *         Enums for cmdline interface            *
  75 *************************************************/
  76
  77 enum commandline_info { CMDINFO_NONE=0,
  78   CMDINFO_HELP, CMDINFO_SIEVE, CMDINFO_DSCP };
  79
  80
  81
  82
  83 /*************************************************
  84 *  Compile regular expression and panic on fail  *
  85 *************************************************/
  86
  87 /* This function is called when failure to compile a regular expression leads
  88 to a panic exit. In other cases, pcre_compile() is called directly. In many
  89 cases where this function is used, the results of the compilation are to be
  90 placed in long-lived store, so we temporarily reset the store management
  91 functions that PCRE uses if the use_malloc flag is set.
  92
  93 Argument:
  94   pattern     the pattern to compile
  95   caseless    TRUE if caseless matching is required
  96   use_malloc  TRUE if compile into malloc store
  97
  98 Returns:      pointer to the compiled pattern
  99 */
 100
 101 const pcre *
 102 regex_must_compile(const uschar *pattern, BOOL caseless, BOOL use_malloc)
 103 {
 104 int offset;
 105 int options = PCRE_COPT;
 106 const pcre *yield;
 107 const uschar *error;
 108 if (use_malloc)
 109   {
 110   pcre_malloc = function_store_malloc;
 111   pcre_free = function_store_free;
 112   }
 113 if (caseless) options |= PCRE_CASELESS;
 114 yield = pcre_compile(CCS pattern, options, CCSS &error, &offset, NULL);
 115 pcre_malloc = function_store_get;
 116 pcre_free = function_dummy_free;
 117 if (yield == NULL)
 118   log_write(0, LOG_MAIN|LOG_PANIC_DIE, "regular expression error: "
 119     "%s at offset %d while compiling %s", error, offset, pattern);
 120 return yield;
 121 }
 122
 123
 124
 125
 126 /*************************************************
 127 *   Execute regular expression and set strings   *
 128 *************************************************/
 129
 130 /* This function runs a regular expression match, and sets up the pointers to
 131 the matched substrings.
 132
 133 Arguments:
 134   re          the compiled expression
 135   subject     the subject string
 136   options     additional PCRE options
 137   setup       if < 0 do full setup
 138               if >= 0 setup from setup+1 onwards,
 139                 excluding the full matched string
 140
 141 Returns:      TRUE or FALSE
 142 */
 143
 144 BOOL
 145 regex_match_and_setup(const pcre *re, const uschar *subject, int options, int setup)
 146 {
 147 int ovector[3*(EXPAND_MAXN+1)];
 148 uschar * s = string_copy(subject);      /* de-constifying */
 149 int n = pcre_exec(re, NULL, CS s, Ustrlen(s), 0,
 150   PCRE_EOPT | options, ovector, nelem(ovector));
 151 BOOL yield = n >= 0;
 152 if (n == 0) n = EXPAND_MAXN + 1;
 153 if (yield)
 154   {
 155   expand_nmax = setup < 0 ? 0 : setup + 1;
 156   for (int nn = setup < 0 ? 0 : 2; nn < n*2; nn += 2)
 157     {
 158     expand_nstring[expand_nmax] = s + ovector[nn];
 159     expand_nlength[expand_nmax++] = ovector[nn+1] - ovector[nn];
 160     }
 161   expand_nmax--;
 162   }
 163 return yield;
 164 }
 165
 166
 167
 168
 169 /*************************************************
 170 *            Set up processing details           *
 171 *************************************************/
 172
 173 /* Save a text string for dumping when SIGUSR1 is received.
 174 Do checks for overruns.
 175
 176 Arguments: format and arguments, as for printf()
 177 Returns:   nothing
 178 */
 179
 180 void
 181 set_process_info(const char *format, ...)
 182 {
 183 gstring gs = { .size = PROCESS_INFO_SIZE - 2, .ptr = 0, .s = process_info };
 184 gstring * g;
 185 int len;
 186 va_list ap;
 187
 188 g = string_fmt_append(&gs, "%5d ", (int)getpid());
 189 len = g->ptr;
 190 va_start(ap, format);
 191 if (!string_vformat(g, 0, format, ap))
 192   {
 193   gs.ptr = len;
 194   g = string_cat(&gs, US"**** string overflowed buffer ****");
 195   }
 196 g = string_catn(g, US"\n", 1);
 197 string_from_gstring(g);
 198 process_info_len = g->ptr;
 199 DEBUG(D_process_info) debug_printf("set_process_info: %s", process_info);
 200 va_end(ap);
 201 }
 202
 203 /***********************************************
 204 *            Handler for SIGTERM               *
 205 ***********************************************/
 206
 207 static void
 208 term_handler(int sig)
 209 {
 210 exit(1);
 211 }
 212
 213
 214 /*************************************************
 215 *             Handler for SIGUSR1                *
 216 *************************************************/
 217
 218 /* SIGUSR1 causes any exim process to write to the process log details of
 219 what it is currently doing. It will only be used if the OS is capable of
 220 setting up a handler that causes automatic restarting of any system call
 221 that is in progress at the time.
 222
 223 This function takes care to be signal-safe.
 224
 225 Argument: the signal number (SIGUSR1)
 226 Returns:  nothing
 227 */
 228
 229 static void
 230 usr1_handler(int sig)
 231 {
 232 int fd;
 233
 234 os_restarting_signal(sig, usr1_handler);
 235
 236 if ((fd = Uopen(process_log_path, O_APPEND|O_WRONLY, LOG_MODE)) < 0)
 237   {
 238   /* If we are already running as the Exim user, try to create it in the
 239   current process (assuming spool_directory exists). Otherwise, if we are
 240   root, do the creation in an exim:exim subprocess. */
 241
 242   int euid = geteuid();
 243   if (euid == exim_uid)
 244     fd = Uopen(process_log_path, O_CREAT|O_APPEND|O_WRONLY, LOG_MODE);
 245   else if (euid == root_uid)
 246     fd = log_create_as_exim(process_log_path);
 247   }
 248
 249 /* If we are neither exim nor root, or if we failed to create the log file,
 250 give up. There is not much useful we can do with errors, since we don't want
 251 to disrupt whatever is going on outside the signal handler. */
 252
 253 if (fd < 0) return;
 254
 255 (void)write(fd, process_info, process_info_len);
 256 (void)close(fd);
 257 }
 258
 259
 260
 261 /*************************************************
 262 *             Timeout handler                    *
 263 *************************************************/
 264
 265 /* This handler is enabled most of the time that Exim is running. The handler
 266 doesn't actually get used unless alarm() has been called to set a timer, to
 267 place a time limit on a system call of some kind. When the handler is run, it
 268 re-enables itself.
 269
 270 There are some other SIGALRM handlers that are used in special cases when more
 271 than just a flag setting is required; for example, when reading a message's
 272 input. These are normally set up in the code module that uses them, and the
 273 SIGALRM handler is reset to this one afterwards.
 274
 275 Argument: the signal value (SIGALRM)
 276 Returns:  nothing
 277 */
 278
 279 void
 280 sigalrm_handler(int sig)
 281 {
 282 sig = sig;      /* Keep picky compilers happy */
 283 sigalrm_seen = TRUE;
 284 os_non_restarting_signal(SIGALRM, sigalrm_handler);
 285 }
 286
 287
 288
 289 /*************************************************
 290 *      Sleep for a fractional time interval      *
 291 *************************************************/
 292
 293 /* This function is called by millisleep() and exim_wait_tick() to wait for a
 294 period of time that may include a fraction of a second. The coding is somewhat
 295 tedious. We do not expect setitimer() ever to fail, but if it does, the process
 296 will wait for ever, so we panic in this instance. (There was a case of this
 297 when a bug in a function that calls milliwait() caused it to pass invalid data.
 298 That's when I added the check. :-)
 299
 300 We assume it to be not worth sleeping for under 50us; this value will
 301 require revisiting as hardware advances.  This avoids the issue of
 302 a zero-valued timer setting meaning "never fire".
 303
 304 Argument:  an itimerval structure containing the interval
 305 Returns:   nothing
 306 */
 307
 308 static void
 309 milliwait(struct itimerval *itval)
 310 {
 311 sigset_t sigmask;
 312 sigset_t old_sigmask;
 313 int save_errno = errno;
 314
 315 if (itval->it_value.tv_usec < 50 && itval->it_value.tv_sec == 0)
 316   return;
 317 (void)sigemptyset(&sigmask);                           /* Empty mask */
 318 (void)sigaddset(&sigmask, SIGALRM);                    /* Add SIGALRM */
 319 (void)sigprocmask(SIG_BLOCK, &sigmask, &old_sigmask);  /* Block SIGALRM */
 320 if (setitimer(ITIMER_REAL, itval, NULL) < 0)           /* Start timer */
 321   log_write(0, LOG_MAIN|LOG_PANIC_DIE,
 322     "setitimer() failed: %s", strerror(errno));
 323 (void)sigfillset(&sigmask);                            /* All signals */
 324 (void)sigdelset(&sigmask, SIGALRM);                    /* Remove SIGALRM */
 325 (void)sigsuspend(&sigmask);                            /* Until SIGALRM */
 326 (void)sigprocmask(SIG_SETMASK, &old_sigmask, NULL);    /* Restore mask */
 327 errno = save_errno;
 328 sigalrm_seen = FALSE;
 329 }
 330
 331
 332
 333
 334 /*************************************************
 335 *         Millisecond sleep function             *
 336 *************************************************/
 337
 338 /* The basic sleep() function has a granularity of 1 second, which is too rough
 339 in some cases - for example, when using an increasing delay to slow down
 340 spammers.
 341
 342 Argument:    number of millseconds
 343 Returns:     nothing
 344 */
 345
 346 void
 347 millisleep(int msec)
 348 {
 349 struct itimerval itval = {.it_interval = {.tv_sec = 0, .tv_usec = 0},
 350                           .it_value = {.tv_sec = msec/1000,
 351                                        .tv_usec = (msec % 1000) * 1000}};
 352 milliwait(&itval);
 353 }
 354
 355
 356
 357 /*************************************************
 358 *         Compare microsecond times              *
 359 *************************************************/
 360
 361 /*
 362 Arguments:
 363   tv1         the first time
 364   tv2         the second time
 365
 366 Returns:      -1, 0, or +1
 367 */
 368
 369 static int
 370 exim_tvcmp(struct timeval *t1, struct timeval *t2)
 371 {
 372 if (t1->tv_sec > t2->tv_sec) return +1;
 373 if (t1->tv_sec < t2->tv_sec) return -1;
 374 if (t1->tv_usec > t2->tv_usec) return +1;
 375 if (t1->tv_usec < t2->tv_usec) return -1;
 376 return 0;
 377 }
 378
 379
 380
 381
 382 /*************************************************
 383 *          Clock tick wait function              *
 384 *************************************************/
 385
 386 #ifdef _POSIX_MONOTONIC_CLOCK
 387 /* Amount CLOCK_MONOTONIC is behind realtime, at startup. */
 388 static struct timespec offset_ts;
 389
 390 static void
 391 exim_clock_init(void)
 392 {
 393 struct timeval tv;
 394 if (clock_gettime(CLOCK_MONOTONIC, &offset_ts) != 0) return;
 395 (void)gettimeofday(&tv, NULL);
 396 offset_ts.tv_sec = tv.tv_sec - offset_ts.tv_sec;
 397 offset_ts.tv_nsec = tv.tv_usec * 1000 - offset_ts.tv_nsec;
 398 if (offset_ts.tv_nsec >= 0) return;
 399 offset_ts.tv_sec--;
 400 offset_ts.tv_nsec += 1000*1000*1000;
 401 }
 402 #endif
 403
 404
 405 /* Exim uses a time + a pid to generate a unique identifier in two places: its
 406 message IDs, and in file names for maildir deliveries. Because some OS now
 407 re-use pids within the same second, sub-second times are now being used.
 408 However, for absolute certainty, we must ensure the clock has ticked before
 409 allowing the relevant process to complete. At the time of implementation of
 410 this code (February 2003), the speed of processors is such that the clock will
 411 invariably have ticked already by the time a process has done its job. This
 412 function prepares for the time when things are faster - and it also copes with
 413 clocks that go backwards.
 414
 415 Arguments:
 416   tgt_tv       A timeval which was used to create uniqueness; its usec field
 417                  has been rounded down to the value of the resolution.
 418                  We want to be sure the current time is greater than this.
 419   resolution   The resolution that was used to divide the microseconds
 420                  (1 for maildir, larger for message ids)
 421
 422 Returns:       nothing
 423 */
 424
 425 void
 426 exim_wait_tick(struct timeval * tgt_tv, int resolution)
 427 {
 428 struct timeval now_tv;
 429 long int now_true_usec;
 430
 431 #ifdef _POSIX_MONOTONIC_CLOCK
 432 struct timespec now_ts;
 433
 434 if (clock_gettime(CLOCK_MONOTONIC, &now_ts) == 0)
 435   {
 436   now_ts.tv_sec += offset_ts.tv_sec;
 437   if ((now_ts.tv_nsec += offset_ts.tv_nsec) >= 1000*1000*1000)
 438     {
 439     now_ts.tv_sec++;
 440     now_ts.tv_nsec -= 1000*1000*1000;
 441     }
 442   now_tv.tv_sec = now_ts.tv_sec;
 443   now_true_usec = (now_ts.tv_nsec / (resolution * 1000)) * resolution;
 444   now_tv.tv_usec = now_true_usec;
 445   }
 446 else
 447 #endif
 448   {
 449   (void)gettimeofday(&now_tv, NULL);
 450   now_true_usec = now_tv.tv_usec;
 451   now_tv.tv_usec = (now_true_usec/resolution) * resolution;
 452   }
 453
 454 while (exim_tvcmp(&now_tv, tgt_tv) <= 0)
 455   {
 456   struct itimerval itval;
 457   itval.it_interval.tv_sec = 0;
 458   itval.it_interval.tv_usec = 0;
 459   itval.it_value.tv_sec = tgt_tv->tv_sec - now_tv.tv_sec;
 460   itval.it_value.tv_usec = tgt_tv->tv_usec + resolution - now_true_usec;
 461
 462   /* We know that, overall, "now" is less than or equal to "then". Therefore, a
 463   negative value for the microseconds is possible only in the case when "now"
 464   is more than a second less than "tgt". That means that itval.it_value.tv_sec
 465   is greater than zero. The following correction is therefore safe. */
 466
 467   if (itval.it_value.tv_usec < 0)
 468     {
 469     itval.it_value.tv_usec += 1000000;
 470     itval.it_value.tv_sec -= 1;
 471     }
 472
 473   DEBUG(D_transport|D_receive)
 474     {
 475     if (!f.running_in_test_harness)
 476       {
 477       debug_printf("tick check: " TIME_T_FMT ".%06lu " TIME_T_FMT ".%06lu\n",
 478         tgt_tv->tv_sec, (long) tgt_tv->tv_usec,
 479         now_tv.tv_sec, (long) now_tv.tv_usec);
 480       debug_printf("waiting " TIME_T_FMT ".%06lu sec\n",
 481         itval.it_value.tv_sec, (long) itval.it_value.tv_usec);
 482       }
 483     }
 484
 485   milliwait(&itval);
 486
 487   /* Be prapared to go around if the kernel does not implement subtick
 488   granularity (GNU Hurd) */
 489
 490   (void)gettimeofday(&now_tv, NULL);
 491   now_true_usec = now_tv.tv_usec;
 492   now_tv.tv_usec = (now_true_usec/resolution) * resolution;
 493   }
 494 }
 495
 496
 497
 498
 499 /*************************************************
 500 *   Call fopen() with umask 777 and adjust mode  *
 501 *************************************************/
 502
 503 /* Exim runs with umask(0) so that files created with open() have the mode that
 504 is specified in the open() call. However, there are some files, typically in
 505 the spool directory, that are created with fopen(). They end up world-writeable
 506 if no precautions are taken. Although the spool directory is not accessible to
 507 the world, this is an untidiness. So this is a wrapper function for fopen()
 508 that sorts out the mode of the created file.
 509
 510 Arguments:
 511    filename       the file name
 512    options        the fopen() options
 513    mode           the required mode
 514
 515 Returns:          the fopened FILE or NULL
 516 */
 517
 518 FILE *
 519 modefopen(const uschar *filename, const char *options, mode_t mode)
 520 {
 521 mode_t saved_umask = umask(0777);
 522 FILE *f = Ufopen(filename, options);
 523 (void)umask(saved_umask);
 524 if (f != NULL) (void)fchmod(fileno(f), mode);
 525 return f;
 526 }
 527
 528
 529 /*************************************************
 530 *   Ensure stdin, stdout, and stderr exist       *
 531 *************************************************/
 532
 533 /* Some operating systems grumble if an exec() happens without a standard
 534 input, output, and error (fds 0, 1, 2) being defined. The worry is that some
 535 file will be opened and will use these fd values, and then some other bit of
 536 code will assume, for example, that it can write error messages to stderr.
 537 This function ensures that fds 0, 1, and 2 are open if they do not already
 538 exist, by connecting them to /dev/null.
 539
 540 This function is also used to ensure that std{in,out,err} exist at all times,
 541 so that if any library that Exim calls tries to use them, it doesn't crash.
 542
 543 Arguments:  None
 544 Returns:    Nothing
 545 */
 546
 547 void
 548 exim_nullstd(void)
 549 {
 550 int devnull = -1;
 551 struct stat statbuf;
 552 for (int i = 0; i <= 2; i++)
 553   {
 554   if (fstat(i, &statbuf) < 0 && errno == EBADF)
 555     {
 556     if (devnull < 0) devnull = open("/dev/null", O_RDWR);
 557     if (devnull < 0) log_write(0, LOG_MAIN|LOG_PANIC_DIE, "%s",
 558       string_open_failed(errno, "/dev/null", NULL));
 559     if (devnull != i) (void)dup2(devnull, i);
 560     }
 561   }
 562 if (devnull > 2) (void)close(devnull);
 563 }
 564
 565
 566
 567
 568 /*************************************************
 569 *   Close unwanted file descriptors for delivery *
 570 *************************************************/
 571
 572 /* This function is called from a new process that has been forked to deliver
 573 an incoming message, either directly, or using exec.
 574
 575 We want any smtp input streams to be closed in this new process. However, it
 576 has been observed that using fclose() here causes trouble. When reading in -bS
 577 input, duplicate copies of messages have been seen. The files will be sharing a
 578 file pointer with the parent process, and it seems that fclose() (at least on
 579 some systems - I saw this on Solaris 2.5.1) messes with that file pointer, at
 580 least sometimes. Hence we go for closing the underlying file descriptors.
 581
 582 If TLS is active, we want to shut down the TLS library, but without molesting
 583 the parent's SSL connection.
 584
 585 For delivery of a non-SMTP message, we want to close stdin and stdout (and
 586 stderr unless debugging) because the calling process might have set them up as
 587 pipes and be waiting for them to close before it waits for the submission
 588 process to terminate. If they aren't closed, they hold up the calling process
 589 until the initial delivery process finishes, which is not what we want.
 590
 591 Exception: We do want it for synchronous delivery!
 592
 593 And notwithstanding all the above, if D_resolver is set, implying resolver
 594 debugging, leave stdout open, because that's where the resolver writes its
 595 debugging output.
 596
 597 When we close stderr (which implies we've also closed stdout), we also get rid
 598 of any controlling terminal.
 599
 600 Arguments:   None
 601 Returns:     Nothing
 602 */
 603
 604 static void
 605 close_unwanted(void)
 606 {
 607 if (smtp_input)
 608   {
 609 #ifndef DISABLE_TLS
 610   tls_close(NULL, TLS_NO_SHUTDOWN);      /* Shut down the TLS library */
 611 #endif
 612   (void)close(fileno(smtp_in));
 613   (void)close(fileno(smtp_out));
 614   smtp_in = NULL;
 615   }
 616 else
 617   {
 618   (void)close(0);                                          /* stdin */
 619   if ((debug_selector & D_resolver) == 0) (void)close(1);  /* stdout */
 620   if (debug_selector == 0)                                 /* stderr */
 621     {
 622     if (!f.synchronous_delivery)
 623       {
 624       (void)close(2);
 625       log_stderr = NULL;
 626       }
 627     (void)setsid();
 628     }
 629   }
 630 }
 631
 632
 633
 634
 635 /*************************************************
 636 *          Set uid and gid                       *
 637 *************************************************/
 638
 639 /* This function sets a new uid and gid permanently, optionally calling
 640 initgroups() to set auxiliary groups. There are some special cases when running
 641 Exim in unprivileged modes. In these situations the effective uid will not be
 642 root; if we already have the right effective uid/gid, and don't need to
 643 initialize any groups, leave things as they are.
 644
 645 Arguments:
 646   uid        the uid
 647   gid        the gid
 648   igflag     TRUE if initgroups() wanted
 649   msg        text to use in debugging output and failure log
 650
 651 Returns:     nothing; bombs out on failure
 652 */
 653
 654 void
 655 exim_setugid(uid_t uid, gid_t gid, BOOL igflag, uschar *msg)
 656 {
 657 uid_t euid = geteuid();
 658 gid_t egid = getegid();
 659
 660 if (euid == root_uid || euid != uid || egid != gid || igflag)
 661   {
 662   /* At least one OS returns +1 for initgroups failure, so just check for
 663   non-zero. */
 664
 665   if (igflag)
 666     {
 667     struct passwd *pw = getpwuid(uid);
 668     if (!pw)
 669       log_write(0, LOG_MAIN|LOG_PANIC_DIE, "cannot run initgroups(): "
 670         "no passwd entry for uid=%ld", (long int)uid);
 671
 672     if (initgroups(pw->pw_name, gid) != 0)
 673       log_write(0,LOG_MAIN|LOG_PANIC_DIE,"initgroups failed for uid=%ld: %s",
 674         (long int)uid, strerror(errno));
 675     }
 676
 677   if (setgid(gid) < 0 || setuid(uid) < 0)
 678     log_write(0, LOG_MAIN|LOG_PANIC_DIE, "unable to set gid=%ld or uid=%ld "
 679       "(euid=%ld): %s", (long int)gid, (long int)uid, (long int)euid, msg);
 680   }
 681
 682 /* Debugging output included uid/gid and all groups */
 683
 684 DEBUG(D_uid)
 685   {
 686   int group_count, save_errno;
 687   gid_t group_list[EXIM_GROUPLIST_SIZE];
 688   debug_printf("changed uid/gid: %s\n  uid=%ld gid=%ld pid=%ld\n", msg,
 689     (long int)geteuid(), (long int)getegid(), (long int)getpid());
 690   group_count = getgroups(nelem(group_list), group_list);
 691   save_errno = errno;
 692   debug_printf("  auxiliary group list:");
 693   if (group_count > 0)
 694     for (int i = 0; i < group_count; i++) debug_printf(" %d", (int)group_list[i]);
 695   else if (group_count < 0)
 696     debug_printf(" <error: %s>", strerror(save_errno));
 697   else debug_printf(" <none>");
 698   debug_printf("\n");
 699   }
 700 }
 701
 702
 703
 704
 705 /*************************************************
 706 *               Exit point                       *
 707 *************************************************/
 708
 709 /* Exim exits via this function so that it always clears up any open
 710 databases.
 711
 712 Arguments:
 713   rc         return code
 714
 715 Returns:     does not return
 716 */
 717
 718 void
 719 exim_exit(int rc)
 720 {
 721 search_tidyup();
 722 store_exit();
 723 DEBUG(D_any)
 724   debug_printf(">>>>>>>>>>>>>>>> Exim pid=%d (%s) terminating with rc=%d "
 725     ">>>>>>>>>>>>>>>>\n",
 726     (int)getpid(), process_purpose, rc);
 727 exit(rc);
 728 }
 729
 730
 731 void
 732 exim_underbar_exit(int rc)
 733 {
 734 store_exit();
 735 DEBUG(D_any)
 736   debug_printf(">>>>>>>>>>>>>>>> Exim pid=%d (%s) terminating with rc=%d "
 737     ">>>>>>>>>>>>>>>>\n",
 738     (int)getpid(), process_purpose, rc);
 739 _exit(rc);
 740 }
 741
 742
 743
 744 /* Print error string, then die */
 745 static void
 746 exim_fail(const char * fmt, ...)
 747 {
 748 va_list ap;
 749 va_start(ap, fmt);
 750 vfprintf(stderr, fmt, ap);
 751 exit(EXIT_FAILURE);
 752 }
 753
 754 /* exim_chown_failure() called from exim_chown()/exim_fchown() on failure
 755 of chown()/fchown().  See src/functions.h for more explanation */
 756 int
 757 exim_chown_failure(int fd, const uschar *name, uid_t owner, gid_t group)
 758 {
 759 int saved_errno = errno;  /* from the preceeding chown call */
 760 #if 1
 761 log_write(0, LOG_MAIN|LOG_PANIC,
 762   __FILE__ ":%d: chown(%s, %d:%d) failed (%s)."
 763   " Please contact the authors and refer to https://bugs.exim.org/show_bug.cgi?id=2391",
 764   __LINE__, name?name:US"<unknown>", owner, group, strerror(errno));
 765 #else
 766 /* I leave this here, commented, in case the "bug"(?) comes up again.
 767    It is not an Exim bug, but we can provide a workaround.
 768    See Bug 2391
 769    HS 2019-04-18 */
 770
 771 struct stat buf;
 772
 773 if (0 == (fd < 0 ? stat(name, &buf) : fstat(fd, &buf)))
 774 {
 775   if (buf.st_uid == owner && buf.st_gid == group) return 0;
 776   log_write(0, LOG_MAIN|LOG_PANIC, "Wrong ownership on %s", name);
 777 }
 778 else log_write(0, LOG_MAIN|LOG_PANIC, "Stat failed on %s: %s", name, strerror(errno));
 779
 780 #endif
 781 errno = saved_errno;
 782 return -1;
 783 }
 784
 785
 786 /*************************************************
 787 *         Extract port from host address         *
 788 *************************************************/
 789
 790 /* Called to extract the port from the values given to -oMa and -oMi.
 791 It also checks the syntax of the address, and terminates it before the
 792 port data when a port is extracted.
 793
 794 Argument:
 795   address   the address, with possible port on the end
 796
 797 Returns:    the port, or zero if there isn't one
 798             bombs out on a syntax error
 799 */
 800
 801 static int
 802 check_port(uschar *address)
 803 {
 804 int port = host_address_extract_port(address);
 805 if (string_is_ip_address(address, NULL) == 0)
 806   exim_fail("exim abandoned: \"%s\" is not an IP address\n", address);
 807 return port;
 808 }
 809
 810
 811
 812 /*************************************************
 813 *              Test/verify an address            *
 814 *************************************************/
 815
 816 /* This function is called by the -bv and -bt code. It extracts a working
 817 address from a full RFC 822 address. This isn't really necessary per se, but it
 818 has the effect of collapsing source routes.
 819
 820 Arguments:
 821   s            the address string
 822   flags        flag bits for verify_address()
 823   exit_value   to be set for failures
 824
 825 Returns:       nothing
 826 */
 827
 828 static void
 829 test_address(uschar *s, int flags, int *exit_value)
 830 {
 831 int start, end, domain;
 832 uschar *parse_error = NULL;
 833 uschar *address = parse_extract_address(s, &parse_error, &start, &end, &domain,
 834   FALSE);
 835 if (!address)
 836   {
 837   fprintf(stdout, "syntax error: %s\n", parse_error);
 838   *exit_value = 2;
 839   }
 840 else
 841   {
 842   int rc = verify_address(deliver_make_addr(address,TRUE), stdout, flags, -1,
 843     -1, -1, NULL, NULL, NULL);
 844   if (rc == FAIL) *exit_value = 2;
 845     else if (rc == DEFER && *exit_value == 0) *exit_value = 1;
 846   }
 847 }
 848
 849
 850
 851 /*************************************************
 852 *          Show supported features               *
 853 *************************************************/
 854
 855 static void
 856 show_db_version(FILE * f)
 857 {
 858 #ifdef DB_VERSION_STRING
 859 DEBUG(D_any)
 860   {
 861   fprintf(f, "Library version: BDB: Compile: %s\n", DB_VERSION_STRING);
 862   fprintf(f, "                      Runtime: %s\n",
 863     db_version(NULL, NULL, NULL));
 864   }
 865 else
 866   fprintf(f, "Berkeley DB: %s\n", DB_VERSION_STRING);
 867
 868 #elif defined(BTREEVERSION) && defined(HASHVERSION)
 869   #ifdef USE_DB
 870   fprintf(f, "Probably Berkeley DB version 1.8x (native mode)\n");
 871   #else
 872   fprintf(f, "Probably Berkeley DB version 1.8x (compatibility mode)\n");
 873   #endif
 874
 875 #elif defined(_DBM_RDONLY) || defined(dbm_dirfno)
 876 fprintf(f, "Probably ndbm\n");
 877 #elif defined(USE_TDB)
 878 fprintf(f, "Using tdb\n");
 879 #else
 880   #ifdef USE_GDBM
 881   fprintf(f, "Probably GDBM (native mode)\n");
 882   #else
 883   fprintf(f, "Probably GDBM (compatibility mode)\n");
 884   #endif
 885 #endif
 886 }
 887
 888
 889 /* This function is called for -bV/--version and for -d to output the optional
 890 features of the current Exim binary.
 891
 892 Arguments:  a FILE for printing
 893 Returns:    nothing
 894 */
 895
 896 static void
 897 show_whats_supported(FILE * fp)
 898 {
 899 rmark reset_point = store_mark();
 900 gstring * g;
 901 DEBUG(D_any) {} else show_db_version(fp);
 902
 903 g = string_cat(NULL, US"Support for:");
 904 #ifdef SUPPORT_CRYPTEQ
 905   g = string_cat(g, US" crypteq");
 906 #endif
 907 #if HAVE_ICONV
 908   g = string_cat(g, US" iconv()");
 909 #endif
 910 #if HAVE_IPV6
 911   g = string_cat(g, US" IPv6");
 912 #endif
 913 #ifdef HAVE_SETCLASSRESOURCES
 914   g = string_cat(g, US" use_setclassresources");
 915 #endif
 916 #ifdef SUPPORT_PAM
 917   g = string_cat(g, US" PAM");
 918 #endif
 919 #ifdef EXIM_PERL
 920   g = string_cat(g, US" Perl");
 921 #endif
 922 #ifdef EXPAND_DLFUNC
 923   g = string_cat(g, US" Expand_dlfunc");
 924 #endif
 925 #ifdef USE_TCP_WRAPPERS
 926   g = string_cat(g, US" TCPwrappers");
 927 #endif
 928 #ifdef USE_GNUTLS
 929   g = string_cat(g, US" GnuTLS");
 930 #endif
 931 #ifdef USE_OPENSSL
 932   g = string_cat(g, US" OpenSSL");
 933 #endif
 934 #ifndef DISABLE_TLS_RESUME
 935   g = string_cat(g, US" TLS_resume");
 936 #endif
 937 #ifdef SUPPORT_TRANSLATE_IP_ADDRESS
 938   g = string_cat(g, US" translate_ip_address");
 939 #endif
 940 #ifdef SUPPORT_MOVE_FROZEN_MESSAGES
 941   g = string_cat(g, US" move_frozen_messages");
 942 #endif
 943 #ifdef WITH_CONTENT_SCAN
 944   g = string_cat(g, US" Content_Scanning");
 945 #endif
 946 #ifdef SUPPORT_DANE
 947   g = string_cat(g, US" DANE");
 948 #endif
 949 #ifndef DISABLE_DKIM
 950   g = string_cat(g, US" DKIM");
 951 #endif
 952 #ifdef SUPPORT_DMARC
 953   g = string_cat(g, US" DMARC");
 954 #endif
 955 #ifndef DISABLE_DNSSEC
 956   g = string_cat(g, US" DNSSEC");
 957 #endif
 958 #ifndef DISABLE_EVENT
 959   g = string_cat(g, US" Event");
 960 #endif
 961 #ifdef SUPPORT_I18N
 962   g = string_cat(g, US" I18N");
 963 #endif
 964 #ifndef DISABLE_OCSP
 965   g = string_cat(g, US" OCSP");
 966 #endif
 967 #ifndef DISABLE_PIPE_CONNECT
 968   g = string_cat(g, US" PIPE_CONNECT");
 969 #endif
 970 #ifndef DISABLE_PRDR
 971   g = string_cat(g, US" PRDR");
 972 #endif
 973 #ifdef SUPPORT_PROXY
 974   g = string_cat(g, US" PROXY");
 975 #endif
 976 #ifndef DISABLE_QUEUE_RAMP
 977   g = string_cat(g, US" Experimental_Queue_Ramp");
 978 #endif
 979 #ifdef SUPPORT_SOCKS
 980   g = string_cat(g, US" SOCKS");
 981 #endif
 982 #ifdef SUPPORT_SPF
 983   g = string_cat(g, US" SPF");
 984 #endif
 985 #if defined(SUPPORT_SRS)
 986   g = string_cat(g, US" SRS");
 987 #endif
 988 #ifdef TCP_FASTOPEN
 989   tcp_init();
 990   if (f.tcp_fastopen_ok) g = string_cat(g, US" TCP_Fast_Open");
 991 #endif
 992 #ifdef EXPERIMENTAL_ARC
 993   g = string_cat(g, US" Experimental_ARC");
 994 #endif
 995 #ifdef EXPERIMENTAL_BRIGHTMAIL
 996   g = string_cat(g, US" Experimental_Brightmail");
 997 #endif
 998 #ifdef EXPERIMENTAL_DCC
 999   g = string_cat(g, US" Experimental_DCC");
1000 #endif
1001 #ifdef EXPERIMENTAL_DSN_INFO
1002   g = string_cat(g, US" Experimental_DSN_info");
1003 #endif
1004 #ifdef EXPERIMENTAL_QUEUEFILE
1005   g = string_cat(g, US" Experimental_QUEUEFILE");
1006 #endif
1007 #if defined(EXPERIMENTAL_SRS_ALT)
1008   g = string_cat(g, US" Experimental_SRS");
1009 #endif
1010 g = string_cat(g, US"\n");
1011
1012 g = string_cat(g, US"Lookups (built-in):");
1013 #if defined(LOOKUP_LSEARCH) && LOOKUP_LSEARCH!=2
1014   g = string_cat(g, US" lsearch wildlsearch nwildlsearch iplsearch");
1015 #endif
1016 #if defined(LOOKUP_CDB) && LOOKUP_CDB!=2
1017   g = string_cat(g, US" cdb");
1018 #endif
1019 #if defined(LOOKUP_DBM) && LOOKUP_DBM!=2
1020   g = string_cat(g, US" dbm dbmjz dbmnz");
1021 #endif
1022 #if defined(LOOKUP_DNSDB) && LOOKUP_DNSDB!=2
1023   g = string_cat(g, US" dnsdb");
1024 #endif
1025 #if defined(LOOKUP_DSEARCH) && LOOKUP_DSEARCH!=2
1026   g = string_cat(g, US" dsearch");
1027 #endif
1028 #if defined(LOOKUP_IBASE) && LOOKUP_IBASE!=2
1029   g = string_cat(g, US" ibase");
1030 #endif
1031 #if defined(LOOKUP_JSON) && LOOKUP_JSON!=2
1032   g = string_cat(g, US" json");
1033 #endif
1034 #if defined(LOOKUP_LDAP) && LOOKUP_LDAP!=2
1035   g = string_cat(g, US" ldap ldapdn ldapm");
1036 #endif
1037 #ifdef LOOKUP_LMDB
1038   g = string_cat(g, US" lmdb");
1039 #endif
1040 #if defined(LOOKUP_MYSQL) && LOOKUP_MYSQL!=2
1041   g = string_cat(g, US" mysql");
1042 #endif
1043 #if defined(LOOKUP_NIS) && LOOKUP_NIS!=2
1044   g = string_cat(g, US" nis nis0");
1045 #endif
1046 #if defined(LOOKUP_NISPLUS) && LOOKUP_NISPLUS!=2
1047   g = string_cat(g, US" nisplus");
1048 #endif
1049 #if defined(LOOKUP_ORACLE) && LOOKUP_ORACLE!=2
1050   g = string_cat(g, US" oracle");
1051 #endif
1052 #if defined(LOOKUP_PASSWD) && LOOKUP_PASSWD!=2
1053   g = string_cat(g, US" passwd");
1054 #endif
1055 #if defined(LOOKUP_PGSQL) && LOOKUP_PGSQL!=2
1056   g = string_cat(g, US" pgsql");
1057 #endif
1058 #if defined(LOOKUP_REDIS) && LOOKUP_REDIS!=2
1059   g = string_cat(g, US" redis");
1060 #endif
1061 #if defined(LOOKUP_SQLITE) && LOOKUP_SQLITE!=2
1062   g = string_cat(g, US" sqlite");
1063 #endif
1064 #if defined(LOOKUP_TESTDB) && LOOKUP_TESTDB!=2
1065   g = string_cat(g, US" testdb");
1066 #endif
1067 #if defined(LOOKUP_WHOSON) && LOOKUP_WHOSON!=2
1068   g = string_cat(g, US" whoson");
1069 #endif
1070 g = string_cat(g, US"\n");
1071
1072 g = auth_show_supported(g);
1073 g = route_show_supported(g);
1074 g = transport_show_supported(g);
1075
1076 #ifdef WITH_CONTENT_SCAN
1077 g = malware_show_supported(g);
1078 #endif
1079
1080 if (fixed_never_users[0] > 0)
1081   {
1082   int i;
1083   g = string_cat(g, US"Fixed never_users: ");
1084   for (i = 1; i <= (int)fixed_never_users[0] - 1; i++)
1085     string_fmt_append(g, "%u:", (unsigned)fixed_never_users[i]);
1086   g = string_fmt_append(g, "%u\n", (unsigned)fixed_never_users[i]);
1087   }
1088
1089 g = string_fmt_append(g, "Configure owner: %d:%d\n", config_uid, config_gid);
1090 fputs(CS string_from_gstring(g), fp);
1091
1092 fprintf(fp, "Size of off_t: " SIZE_T_FMT "\n", sizeof(off_t));
1093
1094 /* Everything else is details which are only worth reporting when debugging.
1095 Perhaps the tls_version_report should move into this too. */
1096 DEBUG(D_any) do {
1097
1098 /* clang defines __GNUC__ (at least, for me) so test for it first */
1099 #if defined(__clang__)
1100   fprintf(fp, "Compiler: CLang [%s]\n", __clang_version__);
1101 #elif defined(__GNUC__)
1102   fprintf(fp, "Compiler: GCC [%s]\n",
1103 # ifdef __VERSION__
1104       __VERSION__
1105 # else
1106       "? unknown version ?"
1107 # endif
1108       );
1109 #else
1110   fprintf(fp, "Compiler: <unknown>\n");
1111 #endif
1112
1113 #if defined(__GLIBC__) && !defined(__UCLIBC__)
1114   fprintf(fp, "Library version: Glibc: Compile: %d.%d\n",
1115                 __GLIBC__, __GLIBC_MINOR__);
1116   if (__GLIBC_PREREQ(2, 1))
1117     fprintf(fp, "                        Runtime: %s\n",
1118                 gnu_get_libc_version());
1119 #endif
1120
1121 show_db_version(fp);
1122
1123 #ifndef DISABLE_TLS
1124   tls_version_report(fp);
1125 #endif
1126 #ifdef SUPPORT_I18N
1127   utf8_version_report(fp);
1128 #endif
1129 #ifdef SUPPORT_SPF
1130   spf_lib_version_report(fp);
1131 #endif
1132
1133   for (auth_info * authi = auths_available; *authi->driver_name != '\0'; ++authi)
1134     if (authi->version_report)
1135       (*authi->version_report)(fp);
1136
1137   /* PCRE_PRERELEASE is either defined and empty or a bare sequence of
1138   characters; unless it's an ancient version of PCRE in which case it
1139   is not defined. */
1140 #ifndef PCRE_PRERELEASE
1141 # define PCRE_PRERELEASE
1142 #endif
1143 #define QUOTE(X) #X
1144 #define EXPAND_AND_QUOTE(X) QUOTE(X)
1145   fprintf(fp, "Library version: PCRE: Compile: %d.%d%s\n"
1146              "                       Runtime: %s\n",
1147           PCRE_MAJOR, PCRE_MINOR,
1148           EXPAND_AND_QUOTE(PCRE_PRERELEASE) "",
1149           pcre_version());
1150 #undef QUOTE
1151 #undef EXPAND_AND_QUOTE
1152
1153   init_lookup_list();
1154   for (int i = 0; i < lookup_list_count; i++)
1155     if (lookup_list[i]->version_report)
1156       lookup_list[i]->version_report(fp);
1157
1158 #ifdef WHITELIST_D_MACROS
1159   fprintf(fp, "WHITELIST_D_MACROS: \"%s\"\n", WHITELIST_D_MACROS);
1160 #else
1161   fprintf(fp, "WHITELIST_D_MACROS unset\n");
1162 #endif
1163 #ifdef TRUSTED_CONFIG_LIST
1164   fprintf(fp, "TRUSTED_CONFIG_LIST: \"%s\"\n", TRUSTED_CONFIG_LIST);
1165 #else
1166   fprintf(fp, "TRUSTED_CONFIG_LIST unset\n");
1167 #endif
1168
1169 } while (0);
1170 store_reset(reset_point);
1171 }
1172
1173
1174 /*************************************************
1175 *     Show auxiliary information about Exim      *
1176 *************************************************/
1177
1178 static void
1179 show_exim_information(enum commandline_info request, FILE *stream)
1180 {
1181 switch(request)
1182   {
1183   case CMDINFO_NONE:
1184     fprintf(stream, "Oops, something went wrong.\n");
1185     return;
1186   case CMDINFO_HELP:
1187     fprintf(stream,
1188 "The -bI: flag takes a string indicating which information to provide.\n"
1189 "If the string is not recognised, you'll get this help (on stderr).\n"
1190 "\n"
1191 "  exim -bI:help    this information\n"
1192 "  exim -bI:dscp    list of known dscp value keywords\n"
1193 "  exim -bI:sieve   list of supported sieve extensions\n"
1194 );
1195     return;
1196   case CMDINFO_SIEVE:
1197     for (const uschar ** pp = exim_sieve_extension_list; *pp; ++pp)
1198       fprintf(stream, "%s\n", *pp);
1199     return;
1200   case CMDINFO_DSCP:
1201     dscp_list_to_stream(stream);
1202     return;
1203   }
1204 }
1205
1206
1207 /*************************************************
1208 *               Quote a local part               *
1209 *************************************************/
1210
1211 /* This function is used when a sender address or a From: or Sender: header
1212 line is being created from the caller's login, or from an authenticated_id. It
1213 applies appropriate quoting rules for a local part.
1214
1215 Argument:    the local part
1216 Returns:     the local part, quoted if necessary
1217 */
1218
1219 uschar *
1220 local_part_quote(uschar *lpart)
1221 {
1222 BOOL needs_quote = FALSE;
1223 gstring * g;
1224
1225 for (uschar * t = lpart; !needs_quote && *t != 0; t++)
1226   {
1227   needs_quote = !isalnum(*t) && strchr("!#$%&'*+-/=?^_`{|}~", *t) == NULL &&
1228     (*t != '.' || t == lpart || t[1] == 0);
1229   }
1230
1231 if (!needs_quote) return lpart;
1232
1233 g = string_catn(NULL, US"\"", 1);
1234
1235 for (;;)
1236   {
1237   uschar *nq = US Ustrpbrk(lpart, "\\\"");
1238   if (nq == NULL)
1239     {
1240     g = string_cat(g, lpart);
1241     break;
1242     }
1243   g = string_catn(g, lpart, nq - lpart);
1244   g = string_catn(g, US"\\", 1);
1245   g = string_catn(g, nq, 1);
1246   lpart = nq + 1;
1247   }
1248
1249 g = string_catn(g, US"\"", 1);
1250 return string_from_gstring(g);
1251 }
1252
1253
1254
1255 #ifdef USE_READLINE
1256 /*************************************************
1257 *         Load readline() functions              *
1258 *************************************************/
1259
1260 /* This function is called from testing executions that read data from stdin,
1261 but only when running as the calling user. Currently, only -be does this. The
1262 function loads the readline() function library and passes back the functions.
1263 On some systems, it needs the curses library, so load that too, but try without
1264 it if loading fails. All this functionality has to be requested at build time.
1265
1266 Arguments:
1267   fn_readline_ptr   pointer to where to put the readline pointer
1268   fn_addhist_ptr    pointer to where to put the addhistory function
1269
1270 Returns:            the dlopen handle or NULL on failure
1271 */
1272
1273 static void *
1274 set_readline(char * (**fn_readline_ptr)(const char *),
1275              void   (**fn_addhist_ptr)(const char *))
1276 {
1277 void *dlhandle;
1278 void *dlhandle_curses = dlopen("libcurses." DYNLIB_FN_EXT, RTLD_GLOBAL|RTLD_LAZY);
1279
1280 dlhandle = dlopen("libreadline." DYNLIB_FN_EXT, RTLD_GLOBAL|RTLD_NOW);
1281 if (dlhandle_curses) dlclose(dlhandle_curses);
1282
1283 if (dlhandle)
1284   {
1285   /* Checked manual pages; at least in GNU Readline 6.1, the prototypes are:
1286    *   char * readline (const char *prompt);
1287    *   void add_history (const char *string);
1288    */
1289   *fn_readline_ptr = (char *(*)(const char*))dlsym(dlhandle, "readline");
1290   *fn_addhist_ptr = (void(*)(const char*))dlsym(dlhandle, "add_history");
1291   }
1292 else
1293   DEBUG(D_any) debug_printf("failed to load readline: %s\n", dlerror());
1294
1295 return dlhandle;
1296 }
1297 #endif
1298
1299
1300
1301 /*************************************************
1302 *    Get a line from stdin for testing things    *
1303 *************************************************/
1304
1305 /* This function is called when running tests that can take a number of lines
1306 of input (for example, -be and -bt). It handles continuations and trailing
1307 spaces. And prompting and a blank line output on eof. If readline() is in use,
1308 the arguments are non-NULL and provide the relevant functions.
1309
1310 Arguments:
1311   fn_readline   readline function or NULL
1312   fn_addhist    addhist function or NULL
1313
1314 Returns:        pointer to dynamic memory, or NULL at end of file
1315 */
1316
1317 static uschar *
1318 get_stdinput(char *(*fn_readline)(const char *), void(*fn_addhist)(const char *))
1319 {
1320 gstring * g = NULL;
1321
1322 if (!fn_readline) { printf("> "); fflush(stdout); }
1323
1324 for (int i = 0;; i++)
1325   {
1326   uschar buffer[1024];
1327   uschar *p, *ss;
1328
1329   #ifdef USE_READLINE
1330   char *readline_line = NULL;
1331   if (fn_readline)
1332     {
1333     if (!(readline_line = fn_readline((i > 0)? "":"> "))) break;
1334     if (*readline_line != 0 && fn_addhist) fn_addhist(readline_line);
1335     p = US readline_line;
1336     }
1337   else
1338   #endif
1339
1340   /* readline() not in use */
1341
1342     {
1343     if (Ufgets(buffer, sizeof(buffer), stdin) == NULL) break;
1344     p = buffer;
1345     }
1346
1347   /* Handle the line */
1348
1349   ss = p + (int)Ustrlen(p);
1350   while (ss > p && isspace(ss[-1])) ss--;
1351
1352   if (i > 0)
1353     while (p < ss && isspace(*p)) p++;   /* leading space after cont */
1354
1355   g = string_catn(g, p, ss - p);
1356
1357   #ifdef USE_READLINE
1358   if (fn_readline) free(readline_line);
1359   #endif
1360
1361   /* g can only be NULL if ss==p */
1362   if (ss == p || g->s[g->ptr-1] != '\\')
1363     break;
1364
1365   --g->ptr;
1366   (void) string_from_gstring(g);
1367   }
1368
1369 if (!g) printf("\n");
1370 return string_from_gstring(g);
1371 }
1372
1373
1374
1375 /*************************************************
1376 *    Output usage information for the program    *
1377 *************************************************/
1378
1379 /* This function is called when there are no recipients
1380    or a specific --help argument was added.
1381
1382 Arguments:
1383   progname      information on what name we were called by
1384
1385 Returns:        DOES NOT RETURN
1386 */
1387
1388 static void
1389 exim_usage(uschar *progname)
1390 {
1391
1392 /* Handle specific program invocation variants */
1393 if (Ustrcmp(progname, US"-mailq") == 0)
1394   exim_fail(
1395     "mailq - list the contents of the mail queue\n\n"
1396     "For a list of options, see the Exim documentation.\n");
1397
1398 /* Generic usage - we output this whatever happens */
1399 exim_fail(
1400   "Exim is a Mail Transfer Agent. It is normally called by Mail User Agents,\n"
1401   "not directly from a shell command line. Options and/or arguments control\n"
1402   "what it does when called. For a list of options, see the Exim documentation.\n");
1403 }
1404
1405
1406
1407 /*************************************************
1408 *    Validate that the macros given are okay     *
1409 *************************************************/
1410
1411 /* Typically, Exim will drop privileges if macros are supplied.  In some
1412 cases, we want to not do so.
1413
1414 Arguments:    opt_D_used - true if the commandline had a "-D" option
1415 Returns:      true if trusted, false otherwise
1416 */
1417
1418 static BOOL
1419 macros_trusted(BOOL opt_D_used)
1420 {
1421 #ifdef WHITELIST_D_MACROS
1422 uschar *whitelisted, *end, *p, **whites;
1423 int white_count, i, n;
1424 size_t len;
1425 BOOL prev_char_item, found;
1426 #endif
1427
1428 if (!opt_D_used)
1429   return TRUE;
1430 #ifndef WHITELIST_D_MACROS
1431 return FALSE;
1432 #else
1433
1434 /* We only trust -D overrides for some invoking users:
1435 root, the exim run-time user, the optional config owner user.
1436 I don't know why config-owner would be needed, but since they can own the
1437 config files anyway, there's no security risk to letting them override -D. */
1438 if ( ! ((real_uid == root_uid)
1439      || (real_uid == exim_uid)
1440 #ifdef CONFIGURE_OWNER
1441      || (real_uid == config_uid)
1442 #endif
1443    ))
1444   {
1445   debug_printf("macros_trusted rejecting macros for uid %d\n", (int) real_uid);
1446   return FALSE;
1447   }
1448
1449 /* Get a list of macros which are whitelisted */
1450 whitelisted = string_copy_perm(US WHITELIST_D_MACROS, FALSE);
1451 prev_char_item = FALSE;
1452 white_count = 0;
1453 for (p = whitelisted; *p != '\0'; ++p)
1454   {
1455   if (*p == ':' || isspace(*p))
1456     {
1457     *p = '\0';
1458     if (prev_char_item)
1459       ++white_count;
1460     prev_char_item = FALSE;
1461     continue;
1462     }
1463   if (!prev_char_item)
1464     prev_char_item = TRUE;
1465   }
1466 end = p;
1467 if (prev_char_item)
1468   ++white_count;
1469 if (!white_count)
1470   return FALSE;
1471 whites = store_malloc(sizeof(uschar *) * (white_count+1));
1472 for (p = whitelisted, i = 0; (p != end) && (i < white_count); ++p)
1473   {
1474   if (*p != '\0')
1475     {
1476     whites[i++] = p;
1477     if (i == white_count)
1478       break;
1479     while (*p != '\0' && p < end)
1480       ++p;
1481     }
1482   }
1483 whites[i] = NULL;
1484
1485 /* The list of commandline macros should be very short.
1486 Accept the N*M complexity. */
1487 for (macro_item * m = macros_user; m; m = m->next) if (m->command_line)
1488   {
1489   found = FALSE;
1490   for (uschar ** w = whites; *w; ++w)
1491     if (Ustrcmp(*w, m->name) == 0)
1492       {
1493       found = TRUE;
1494       break;
1495       }
1496   if (!found)
1497     return FALSE;
1498   if (!m->replacement)
1499     continue;
1500   if ((len = m->replen) == 0)
1501     continue;
1502   n = pcre_exec(regex_whitelisted_macro, NULL, CS m->replacement, len,
1503    0, PCRE_EOPT, NULL, 0);
1504   if (n < 0)
1505     {
1506     if (n != PCRE_ERROR_NOMATCH)
1507       debug_printf("macros_trusted checking %s returned %d\n", m->name, n);
1508     return FALSE;
1509     }
1510   }
1511 DEBUG(D_any) debug_printf("macros_trusted overridden to true by whitelisting\n");
1512 return TRUE;
1513 #endif
1514 }
1515
1516
1517 /*************************************************
1518 *          Expansion testing                     *
1519 *************************************************/
1520
1521 /* Expand and print one item, doing macro-processing.
1522
1523 Arguments:
1524   item          line for expansion
1525 */
1526
1527 static void
1528 expansion_test_line(uschar * line)
1529 {
1530 int len;
1531 BOOL dummy_macexp;
1532
1533 Ustrncpy(big_buffer, line, big_buffer_size);
1534 big_buffer[big_buffer_size-1] = '\0';
1535 len = Ustrlen(big_buffer);
1536
1537 (void) macros_expand(0, &len, &dummy_macexp);
1538
1539 if (isupper(big_buffer[0]))
1540   {
1541   if (macro_read_assignment(big_buffer))
1542     printf("Defined macro '%s'\n", mlast->name);
1543   }
1544 else
1545   if ((line = expand_string(big_buffer))) printf("%s\n", CS line);
1546   else printf("Failed: %s\n", expand_string_message);
1547 }
1548
1549
1550
1551 /*************************************************
1552 *          Entry point and high-level code       *
1553 *************************************************/
1554
1555 /* Entry point for the Exim mailer. Analyse the arguments and arrange to take
1556 the appropriate action. All the necessary functions are present in the one
1557 binary. I originally thought one should split it up, but it turns out that so
1558 much of the apparatus is needed in each chunk that one might as well just have
1559 it all available all the time, which then makes the coding easier as well.
1560
1561 Arguments:
1562   argc      count of entries in argv
1563   argv      argument strings, with argv[0] being the program name
1564
1565 Returns:    EXIT_SUCCESS if terminated successfully
1566             EXIT_FAILURE otherwise, except when a message has been sent
1567               to the sender, and -oee was given
1568 */
1569
1570 int
1571 main(int argc, char **cargv)
1572 {
1573 uschar **argv = USS cargv;
1574 int  arg_receive_timeout = -1;
1575 int  arg_smtp_receive_timeout = -1;
1576 int  arg_error_handling = error_handling;
1577 int  filter_sfd = -1;
1578 int  filter_ufd = -1;
1579 int  group_count;
1580 int  i, rv;
1581 int  list_queue_option = 0;
1582 int  msg_action = 0;
1583 int  msg_action_arg = -1;
1584 int  namelen = (argv[0] == NULL)? 0 : Ustrlen(argv[0]);
1585 int  queue_only_reason = 0;
1586 #ifdef EXIM_PERL
1587 int  perl_start_option = 0;
1588 #endif
1589 int  recipients_arg = argc;
1590 int  sender_address_domain = 0;
1591 int  test_retry_arg = -1;
1592 int  test_rewrite_arg = -1;
1593 gid_t original_egid;
1594 BOOL arg_queue_only = FALSE;
1595 BOOL bi_option = FALSE;
1596 BOOL checking = FALSE;
1597 BOOL count_queue = FALSE;
1598 BOOL expansion_test = FALSE;
1599 BOOL extract_recipients = FALSE;
1600 BOOL flag_G = FALSE;
1601 BOOL flag_n = FALSE;
1602 BOOL forced_delivery = FALSE;
1603 BOOL f_end_dot = FALSE;
1604 BOOL deliver_give_up = FALSE;
1605 BOOL list_queue = FALSE;
1606 BOOL list_options = FALSE;
1607 BOOL list_config = FALSE;
1608 BOOL local_queue_only;
1609 BOOL more = TRUE;
1610 BOOL one_msg_action = FALSE;
1611 BOOL opt_D_used = FALSE;
1612 BOOL queue_only_set = FALSE;
1613 BOOL receiving_message = TRUE;
1614 BOOL sender_ident_set = FALSE;
1615 BOOL session_local_queue_only;
1616 BOOL unprivileged;
1617 BOOL removed_privilege = FALSE;
1618 BOOL usage_wanted = FALSE;
1619 BOOL verify_address_mode = FALSE;
1620 BOOL verify_as_sender = FALSE;
1621 BOOL rcpt_verify_quota = FALSE;
1622 BOOL version_printed = FALSE;
1623 uschar *alias_arg = NULL;
1624 uschar *called_as = US"";
1625 uschar *cmdline_syslog_name = NULL;
1626 uschar *start_queue_run_id = NULL;
1627 uschar *stop_queue_run_id = NULL;
1628 uschar *expansion_test_message = NULL;
1629 uschar *ftest_domain = NULL;
1630 uschar *ftest_localpart = NULL;
1631 uschar *ftest_prefix = NULL;
1632 uschar *ftest_suffix = NULL;
1633 uschar *log_oneline = NULL;
1634 uschar *malware_test_file = NULL;
1635 uschar *real_sender_address;
1636 uschar *originator_home = US"/";
1637 size_t sz;
1638
1639 struct passwd *pw;
1640 struct stat statbuf;
1641 pid_t passed_qr_pid = (pid_t)0;
1642 int passed_qr_pipe = -1;
1643 gid_t group_list[EXIM_GROUPLIST_SIZE];
1644
1645 /* For the -bI: flag */
1646 enum commandline_info info_flag = CMDINFO_NONE;
1647 BOOL info_stdout = FALSE;
1648
1649 /* Possible options for -R and -S */
1650
1651 static uschar *rsopts[] = { US"f", US"ff", US"r", US"rf", US"rff" };
1652
1653 /* Need to define this in case we need to change the environment in order
1654 to get rid of a bogus time zone. We have to make it char rather than uschar
1655 because some OS define it in /usr/include/unistd.h. */
1656
1657 extern char **environ;
1658
1659 #ifdef MEASURE_TIMING
1660 (void)gettimeofday(&timestamp_startup, NULL);
1661 #endif
1662
1663 /* If the Exim user and/or group and/or the configuration file owner/group were
1664 defined by ref:name at build time, we must now find the actual uid/gid values.
1665 This is a feature to make the lives of binary distributors easier. */
1666
1667 #ifdef EXIM_USERNAME
1668 if (route_finduser(US EXIM_USERNAME, &pw, &exim_uid))
1669   {
1670   if (exim_uid == 0)
1671     exim_fail("exim: refusing to run with uid 0 for \"%s\"\n", EXIM_USERNAME);
1672
1673   /* If ref:name uses a number as the name, route_finduser() returns
1674   TRUE with exim_uid set and pw coerced to NULL. */
1675   if (pw)
1676     exim_gid = pw->pw_gid;
1677 #ifndef EXIM_GROUPNAME
1678   else
1679     exim_fail(
1680         "exim: ref:name should specify a usercode, not a group.\n"
1681         "exim: can't let you get away with it unless you also specify a group.\n");
1682 #endif
1683   }
1684 else
1685   exim_fail("exim: failed to find uid for user name \"%s\"\n", EXIM_USERNAME);
1686 #endif
1687
1688 #ifdef EXIM_GROUPNAME
1689 if (!route_findgroup(US EXIM_GROUPNAME, &exim_gid))
1690   exim_fail("exim: failed to find gid for group name \"%s\"\n", EXIM_GROUPNAME);
1691 #endif
1692
1693 #ifdef CONFIGURE_OWNERNAME
1694 if (!route_finduser(US CONFIGURE_OWNERNAME, NULL, &config_uid))
1695   exim_fail("exim: failed to find uid for user name \"%s\"\n",
1696     CONFIGURE_OWNERNAME);
1697 #endif
1698
1699 /* We default the system_filter_user to be the Exim run-time user, as a
1700 sane non-root value. */
1701 system_filter_uid = exim_uid;
1702
1703 #ifdef CONFIGURE_GROUPNAME
1704 if (!route_findgroup(US CONFIGURE_GROUPNAME, &config_gid))
1705   exim_fail("exim: failed to find gid for group name \"%s\"\n",
1706     CONFIGURE_GROUPNAME);
1707 #endif
1708
1709 /* In the Cygwin environment, some initialization used to need doing.
1710 It was fudged in by means of this macro; now no longer but we'll leave
1711 it in case of others. */
1712
1713 #ifdef OS_INIT
1714 OS_INIT
1715 #endif
1716
1717 /* Check a field which is patched when we are running Exim within its
1718 testing harness; do a fast initial check, and then the whole thing. */
1719
1720 f.running_in_test_harness =
1721   *running_status == '<' && Ustrcmp(running_status, "<<<testing>>>") == 0;
1722 if (f.running_in_test_harness)
1723   debug_store = TRUE;
1724
1725 /* The C standard says that the equivalent of setlocale(LC_ALL, "C") is obeyed
1726 at the start of a program; however, it seems that some environments do not
1727 follow this. A "strange" locale can affect the formatting of timestamps, so we
1728 make quite sure. */
1729
1730 setlocale(LC_ALL, "C");
1731
1732 /* Get the offset between CLOCK_MONOTONIC and wallclock */
1733
1734 #ifdef _POSIX_MONOTONIC_CLOCK
1735 exim_clock_init();
1736 #endif
1737
1738 /* Set up the default handler for timing using alarm(). */
1739
1740 os_non_restarting_signal(SIGALRM, sigalrm_handler);
1741
1742 /* Ensure we have a buffer for constructing log entries. Use malloc directly,
1743 because store_malloc writes a log entry on failure. */
1744
1745 if (!(log_buffer = US malloc(LOG_BUFFER_SIZE)))
1746   exim_fail("exim: failed to get store for log buffer\n");
1747
1748 /* Initialize the default log options. */
1749
1750 bits_set(log_selector, log_selector_size, log_default);
1751
1752 /* Set log_stderr to stderr, provided that stderr exists. This gets reset to
1753 NULL when the daemon is run and the file is closed. We have to use this
1754 indirection, because some systems don't allow writing to the variable "stderr".
1755 */
1756
1757 if (fstat(fileno(stderr), &statbuf) >= 0) log_stderr = stderr;
1758
1759 /* Arrange for the PCRE regex library to use our store functions. Note that
1760 the normal calls are actually macros that add additional arguments for
1761 debugging purposes so we have to assign specially constructed functions here.
1762 The default is to use store in the stacking pool, but this is overridden in the
1763 regex_must_compile() function. */
1764
1765 pcre_malloc = function_store_get;
1766 pcre_free = function_dummy_free;
1767
1768 /* Ensure there is a big buffer for temporary use in several places. It is put
1769 in malloc store so that it can be freed for enlargement if necessary. */
1770
1771 big_buffer = store_malloc(big_buffer_size);
1772
1773 /* Set up the handler for the data request signal, and set the initial
1774 descriptive text. */
1775
1776 process_info = store_get(PROCESS_INFO_SIZE, TRUE);      /* tainted */
1777 set_process_info("initializing");
1778 os_restarting_signal(SIGUSR1, usr1_handler);
1779
1780 /* If running in a dockerized environment, the TERM signal is only
1781 delegated to the PID 1 if we request it by setting an signal handler */
1782 if (getpid() == 1) signal(SIGTERM, term_handler);
1783
1784 /* SIGHUP is used to get the daemon to reconfigure. It gets set as appropriate
1785 in the daemon code. For the rest of Exim's uses, we ignore it. */
1786
1787 signal(SIGHUP, SIG_IGN);
1788
1789 /* We don't want to die on pipe errors as the code is written to handle
1790 the write error instead. */
1791
1792 signal(SIGPIPE, SIG_IGN);
1793
1794 /* Under some circumstance on some OS, Exim can get called with SIGCHLD
1795 set to SIG_IGN. This causes subprocesses that complete before the parent
1796 process waits for them not to hang around, so when Exim calls wait(), nothing
1797 is there. The wait() code has been made robust against this, but let's ensure
1798 that SIGCHLD is set to SIG_DFL, because it's tidier to wait and get a process
1799 ending status. We use sigaction rather than plain signal() on those OS where
1800 SA_NOCLDWAIT exists, because we want to be sure it is turned off. (There was a
1801 problem on AIX with this.) */
1802
1803 #ifdef SA_NOCLDWAIT
1804   {
1805   struct sigaction act;
1806   act.sa_handler = SIG_DFL;
1807   sigemptyset(&(act.sa_mask));
1808   act.sa_flags = 0;
1809   sigaction(SIGCHLD, &act, NULL);
1810   }
1811 #else
1812 signal(SIGCHLD, SIG_DFL);
1813 #endif
1814
1815 /* Save the arguments for use if we re-exec exim as a daemon after receiving
1816 SIGHUP. */
1817
1818 sighup_argv = argv;
1819
1820 /* Set up the version number. Set up the leading 'E' for the external form of
1821 message ids, set the pointer to the internal form, and initialize it to
1822 indicate no message being processed. */
1823
1824 version_init();
1825 message_id_option[0] = '-';
1826 message_id_external = message_id_option + 1;
1827 message_id_external[0] = 'E';
1828 message_id = message_id_external + 1;
1829 message_id[0] = 0;
1830
1831 /* Set the umask to zero so that any files Exim creates using open() are
1832 created with the modes that it specifies. NOTE: Files created with fopen() have
1833 a problem, which was not recognized till rather late (February 2006). With this
1834 umask, such files will be world writeable. (They are all content scanning files
1835 in the spool directory, which isn't world-accessible, so this is not a
1836 disaster, but it's untidy.) I don't want to change this overall setting,
1837 however, because it will interact badly with the open() calls. Instead, there's
1838 now a function called modefopen() that fiddles with the umask while calling
1839 fopen(). */
1840
1841 (void)umask(0);
1842
1843 /* Precompile the regular expression for matching a message id. Keep this in
1844 step with the code that generates ids in the accept.c module. We need to do
1845 this here, because the -M options check their arguments for syntactic validity
1846 using mac_ismsgid, which uses this. */
1847
1848 regex_ismsgid =
1849   regex_must_compile(US"^(?:[^\\W_]{6}-){2}[^\\W_]{2}$", FALSE, TRUE);
1850
1851 /* Precompile the regular expression that is used for matching an SMTP error
1852 code, possibly extended, at the start of an error message. Note that the
1853 terminating whitespace character is included. */
1854
1855 regex_smtp_code =
1856   regex_must_compile(US"^\\d\\d\\d\\s(?:\\d\\.\\d\\d?\\d?\\.\\d\\d?\\d?\\s)?",
1857     FALSE, TRUE);
1858
1859 #ifdef WHITELIST_D_MACROS
1860 /* Precompile the regular expression used to filter the content of macros
1861 given to -D for permissibility. */
1862
1863 regex_whitelisted_macro =
1864   regex_must_compile(US"^[A-Za-z0-9_/.-]*$", FALSE, TRUE);
1865 #endif
1866
1867 for (i = 0; i < REGEX_VARS; i++) regex_vars[i] = NULL;
1868
1869 /* If the program is called as "mailq" treat it as equivalent to "exim -bp";
1870 this seems to be a generally accepted convention, since one finds symbolic
1871 links called "mailq" in standard OS configurations. */
1872
1873 if ((namelen == 5 && Ustrcmp(argv[0], "mailq") == 0) ||
1874     (namelen  > 5 && Ustrncmp(argv[0] + namelen - 6, "/mailq", 6) == 0))
1875   {
1876   list_queue = TRUE;
1877   receiving_message = FALSE;
1878   called_as = US"-mailq";
1879   }
1880
1881 /* If the program is called as "rmail" treat it as equivalent to
1882 "exim -i -oee", thus allowing UUCP messages to be input using non-SMTP mode,
1883 i.e. preventing a single dot on a line from terminating the message, and
1884 returning with zero return code, even in cases of error (provided an error
1885 message has been sent). */
1886
1887 if ((namelen == 5 && Ustrcmp(argv[0], "rmail") == 0) ||
1888     (namelen  > 5 && Ustrncmp(argv[0] + namelen - 6, "/rmail", 6) == 0))
1889   {
1890   f.dot_ends = FALSE;
1891   called_as = US"-rmail";
1892   errors_sender_rc = EXIT_SUCCESS;
1893   }
1894
1895 /* If the program is called as "rsmtp" treat it as equivalent to "exim -bS";
1896 this is a smail convention. */
1897
1898 if ((namelen == 5 && Ustrcmp(argv[0], "rsmtp") == 0) ||
1899     (namelen  > 5 && Ustrncmp(argv[0] + namelen - 6, "/rsmtp", 6) == 0))
1900   {
1901   smtp_input = smtp_batched_input = TRUE;
1902   called_as = US"-rsmtp";
1903   }
1904
1905 /* If the program is called as "runq" treat it as equivalent to "exim -q";
1906 this is a smail convention. */
1907
1908 if ((namelen == 4 && Ustrcmp(argv[0], "runq") == 0) ||
1909     (namelen  > 4 && Ustrncmp(argv[0] + namelen - 5, "/runq", 5) == 0))
1910   {
1911   queue_interval = 0;
1912   receiving_message = FALSE;
1913   called_as = US"-runq";
1914   }
1915
1916 /* If the program is called as "newaliases" treat it as equivalent to
1917 "exim -bi"; this is a sendmail convention. */
1918
1919 if ((namelen == 10 && Ustrcmp(argv[0], "newaliases") == 0) ||
1920     (namelen  > 10 && Ustrncmp(argv[0] + namelen - 11, "/newaliases", 11) == 0))
1921   {
1922   bi_option = TRUE;
1923   receiving_message = FALSE;
1924   called_as = US"-newaliases";
1925   }
1926
1927 /* Save the original effective uid for a couple of uses later. It should
1928 normally be root, but in some esoteric environments it may not be. */
1929
1930 original_euid = geteuid();
1931 original_egid = getegid();
1932
1933 /* Get the real uid and gid. If the caller is root, force the effective uid/gid
1934 to be the same as the real ones. This makes a difference only if Exim is setuid
1935 (or setgid) to something other than root, which could be the case in some
1936 special configurations. */
1937
1938 real_uid = getuid();
1939 real_gid = getgid();
1940
1941 if (real_uid == root_uid)
1942   {
1943   if ((rv = setgid(real_gid)))
1944     exim_fail("exim: setgid(%ld) failed: %s\n",
1945         (long int)real_gid, strerror(errno));
1946   if ((rv = setuid(real_uid)))
1947     exim_fail("exim: setuid(%ld) failed: %s\n",
1948         (long int)real_uid, strerror(errno));
1949   }
1950
1951 /* If neither the original real uid nor the original euid was root, Exim is
1952 running in an unprivileged state. */
1953
1954 unprivileged = (real_uid != root_uid && original_euid != root_uid);
1955
1956 /* For most of the args-parsing we need to use permanent pool memory */
1957  {
1958  int old_pool = store_pool;
1959  store_pool = POOL_PERM;
1960
1961 /* Scan the program's arguments. Some can be dealt with right away; others are
1962 simply recorded for checking and handling afterwards. Do a high-level switch
1963 on the second character (the one after '-'), to save some effort. */
1964
1965  for (i = 1; i < argc; i++)
1966   {
1967   BOOL badarg = FALSE;
1968   uschar * arg = argv[i];
1969   uschar * argrest;
1970   int switchchar;
1971
1972   /* An argument not starting with '-' is the start of a recipients list;
1973   break out of the options-scanning loop. */
1974
1975   if (arg[0] != '-')
1976     {
1977     recipients_arg = i;
1978     break;
1979     }
1980
1981   /* An option consisting of -- terminates the options */
1982
1983   if (Ustrcmp(arg, "--") == 0)
1984     {
1985     recipients_arg = i + 1;
1986     break;
1987     }
1988
1989   /* Handle flagged options */
1990
1991   switchchar = arg[1];
1992   argrest = arg+2;
1993
1994   /* Make all -ex options synonymous with -oex arguments, since that
1995   is assumed by various callers. Also make -qR options synonymous with -R
1996   options, as that seems to be required as well. Allow for -qqR too, and
1997   the same for -S options. */
1998
1999   if (Ustrncmp(arg+1, "oe", 2) == 0 ||
2000       Ustrncmp(arg+1, "qR", 2) == 0 ||
2001       Ustrncmp(arg+1, "qS", 2) == 0)
2002     {
2003     switchchar = arg[2];
2004     argrest++;
2005     }
2006   else if (Ustrncmp(arg+1, "qqR", 3) == 0 || Ustrncmp(arg+1, "qqS", 3) == 0)
2007     {
2008     switchchar = arg[3];
2009     argrest += 2;
2010     f.queue_2stage = TRUE;
2011     }
2012
2013   /* Make -r synonymous with -f, since it is a documented alias */
2014
2015   else if (arg[1] == 'r') switchchar = 'f';
2016
2017   /* Make -ov synonymous with -v */
2018
2019   else if (Ustrcmp(arg, "-ov") == 0)
2020     {
2021     switchchar = 'v';
2022     argrest++;
2023     }
2024
2025   /* deal with --option_aliases */
2026   else if (switchchar == '-')
2027     {
2028     if (Ustrcmp(argrest, "help") == 0)
2029       {
2030       usage_wanted = TRUE;
2031       break;
2032       }
2033     else if (Ustrcmp(argrest, "version") == 0)
2034       {
2035       switchchar = 'b';
2036       argrest = US"V";
2037       }
2038     }
2039
2040   /* High-level switch on active initial letter */
2041
2042   switch(switchchar)
2043     {
2044
2045     /* sendmail uses -Ac and -Am to control which .cf file is used;
2046     we ignore them. */
2047     case 'A':
2048     if (!*argrest) { badarg = TRUE; break; }
2049     else
2050       {
2051       BOOL ignore = FALSE;
2052       switch (*argrest)
2053         {
2054         case 'c':
2055         case 'm':
2056           if (*(argrest + 1) == '\0')
2057             ignore = TRUE;
2058           break;
2059         }
2060       if (!ignore) badarg = TRUE;
2061       }
2062     break;
2063
2064     /* -Btype is a sendmail option for 7bit/8bit setting. Exim is 8-bit clean
2065     so has no need of it. */
2066
2067     case 'B':
2068     if (!*argrest) i++;       /* Skip over the type */
2069     break;
2070
2071
2072     case 'b':
2073       {
2074       receiving_message = FALSE;    /* Reset TRUE for -bm, -bS, -bs below */
2075
2076       switch (*argrest++)
2077         {
2078         /* -bd:  Run in daemon mode, awaiting SMTP connections.
2079            -bdf: Ditto, but in the foreground.
2080         */
2081         case 'd':
2082           f.daemon_listen = TRUE;
2083           if (*argrest == 'f') f.background_daemon = FALSE;
2084           else if (*argrest) badarg = TRUE;
2085           break;
2086
2087         /* -be:  Run in expansion test mode
2088            -bem: Ditto, but read a message from a file first
2089         */
2090         case 'e':
2091           expansion_test = checking = TRUE;
2092           if (*argrest == 'm')
2093             {
2094             if (++i >= argc) { badarg = TRUE; break; }
2095             expansion_test_message = argv[i];
2096             argrest++;
2097             }
2098           if (*argrest) badarg = TRUE;
2099           break;
2100
2101         /* -bF:  Run system filter test */
2102         case 'F':
2103           filter_test |= checking = FTEST_SYSTEM;
2104           if (*argrest) badarg = TRUE;
2105           else if (++i < argc) filter_test_sfile = argv[i];
2106           else exim_fail("exim: file name expected after %s\n", argv[i-1]);
2107           break;
2108
2109         /* -bf:  Run user filter test
2110            -bfd: Set domain for filter testing
2111            -bfl: Set local part for filter testing
2112            -bfp: Set prefix for filter testing
2113            -bfs: Set suffix for filter testing
2114         */
2115         case 'f':
2116           if (!*argrest)
2117             {
2118             filter_test |= checking = FTEST_USER;
2119             if (++i < argc) filter_test_ufile = argv[i];
2120             else exim_fail("exim: file name expected after %s\n", argv[i-1]);
2121             }
2122           else
2123             {
2124             if (++i >= argc)
2125               exim_fail("exim: string expected after %s\n", arg);
2126             if (Ustrcmp(argrest, "d") == 0) ftest_domain = argv[i];
2127             else if (Ustrcmp(argrest, "l") == 0) ftest_localpart = argv[i];
2128             else if (Ustrcmp(argrest, "p") == 0) ftest_prefix = argv[i];
2129             else if (Ustrcmp(argrest, "s") == 0) ftest_suffix = argv[i];
2130             else badarg = TRUE;
2131             }
2132           break;
2133
2134         /* -bh: Host checking - an IP address must follow. */
2135         case 'h':
2136           if (!*argrest || Ustrcmp(argrest, "c") == 0)
2137             {
2138             if (++i >= argc) { badarg = TRUE; break; }
2139             sender_host_address = string_copy_taint(argv[i], TRUE);
2140             host_checking = checking = f.log_testing_mode = TRUE;
2141             f.host_checking_callout = *argrest == 'c';
2142             message_logs = FALSE;
2143             }
2144           else badarg = TRUE;
2145           break;
2146
2147         /* -bi: This option is used by sendmail to initialize *the* alias file,
2148         though it has the -oA option to specify a different file. Exim has no
2149         concept of *the* alias file, but since Sun's YP make script calls
2150         sendmail this way, some support must be provided. */
2151         case 'i':
2152           if (!*++argrest) bi_option = TRUE;
2153           else badarg = TRUE;
2154           break;
2155
2156         /* -bI: provide information, of the type to follow after a colon.
2157         This is an Exim flag. */
2158         case 'I':
2159           if (Ustrlen(argrest) >= 1 && *argrest == ':')
2160             {
2161             uschar *p = argrest+1;
2162             info_flag = CMDINFO_HELP;
2163             if (Ustrlen(p))
2164               if (strcmpic(p, CUS"sieve") == 0)
2165                 {
2166                 info_flag = CMDINFO_SIEVE;
2167                 info_stdout = TRUE;
2168                 }
2169               else if (strcmpic(p, CUS"dscp") == 0)
2170                 {
2171                 info_flag = CMDINFO_DSCP;
2172                 info_stdout = TRUE;
2173                 }
2174               else if (strcmpic(p, CUS"help") == 0)
2175                 info_stdout = TRUE;
2176             }
2177           else badarg = TRUE;
2178           break;
2179
2180         /* -bm: Accept and deliver message - the default option. Reinstate
2181         receiving_message, which got turned off for all -b options.
2182            -bmalware: test the filename given for malware */
2183         case 'm':
2184           if (!*argrest) receiving_message = TRUE;
2185           else if (Ustrcmp(argrest, "alware") == 0)
2186             {
2187             if (++i >= argc) { badarg = TRUE; break; }
2188             checking = TRUE;
2189             malware_test_file = argv[i];
2190             }
2191           else badarg = TRUE;
2192           break;
2193
2194         /* -bnq: For locally originating messages, do not qualify unqualified
2195         addresses. In the envelope, this causes errors; in header lines they
2196         just get left. */
2197         case 'n':
2198           if (Ustrcmp(argrest, "q") == 0)
2199             {
2200             f.allow_unqualified_sender = FALSE;
2201             f.allow_unqualified_recipient = FALSE;
2202             }
2203           else badarg = TRUE;
2204           break;
2205
2206         /* -bpxx: List the contents of the mail queue, in various forms. If
2207         the option is -bpc, just a queue count is needed. Otherwise, if the
2208         first letter after p is r, then order is random. */
2209         case 'p':
2210           if (*argrest == 'c')
2211             {
2212             count_queue = TRUE;
2213             if (*++argrest) badarg = TRUE;
2214             break;
2215             }
2216
2217           if (*argrest == 'r')
2218             {
2219             list_queue_option = 8;
2220             argrest++;
2221             }
2222           else list_queue_option = 0;
2223
2224           list_queue = TRUE;
2225
2226           /* -bp: List the contents of the mail queue, top-level only */
2227
2228           if (!*argrest) {}
2229
2230           /* -bpu: List the contents of the mail queue, top-level undelivered */
2231
2232           else if (Ustrcmp(argrest, "u") == 0) list_queue_option += 1;
2233
2234           /* -bpa: List the contents of the mail queue, including all delivered */
2235
2236           else if (Ustrcmp(argrest, "a") == 0) list_queue_option += 2;
2237
2238           /* Unknown after -bp[r] */
2239
2240           else badarg = TRUE;
2241           break;
2242
2243
2244         /* -bP: List the configuration variables given as the address list.
2245         Force -v, so configuration errors get displayed. */
2246         case 'P':
2247
2248           /* -bP config: we need to setup here, because later,
2249            * when list_options is checked, the config is read already */
2250           if (*argrest)
2251             badarg = TRUE;
2252           else if (argv[i+1] && Ustrcmp(argv[i+1], "config") == 0)
2253             {
2254             list_config = TRUE;
2255             readconf_save_config(version_string);
2256             }
2257           else
2258             {
2259             list_options = TRUE;
2260             debug_selector |= D_v;
2261             debug_file = stderr;
2262             }
2263           break;
2264
2265         /* -brt: Test retry configuration lookup */
2266         case 'r':
2267           if (Ustrcmp(argrest, "t") == 0)
2268             {
2269             checking = TRUE;
2270             test_retry_arg = i + 1;
2271             goto END_ARG;
2272             }
2273
2274           /* -brw: Test rewrite configuration */
2275
2276           else if (Ustrcmp(argrest, "w") == 0)
2277             {
2278             checking = TRUE;
2279             test_rewrite_arg = i + 1;
2280             goto END_ARG;
2281             }
2282           else badarg = TRUE;
2283           break;
2284
2285         /* -bS: Read SMTP commands on standard input, but produce no replies -
2286         all errors are reported by sending messages. */
2287         case 'S':
2288           if (!*argrest)
2289             smtp_input = smtp_batched_input = receiving_message = TRUE;
2290           else badarg = TRUE;
2291           break;
2292
2293         /* -bs: Read SMTP commands on standard input and produce SMTP replies
2294         on standard output. */
2295         case 's':
2296           if (!*argrest) smtp_input = receiving_message = TRUE;
2297           else badarg = TRUE;
2298           break;
2299
2300         /* -bt: address testing mode */
2301         case 't':
2302           if (!*argrest)
2303             f.address_test_mode = checking = f.log_testing_mode = TRUE;
2304           else badarg = TRUE;
2305           break;
2306
2307         /* -bv: verify addresses */
2308         case 'v':
2309           if (!*argrest)
2310             verify_address_mode = checking = f.log_testing_mode = TRUE;
2311
2312         /* -bvs: verify sender addresses */
2313
2314           else if (Ustrcmp(argrest, "s") == 0)
2315             {
2316             verify_address_mode = checking = f.log_testing_mode = TRUE;
2317             verify_as_sender = TRUE;
2318             }
2319           else badarg = TRUE;
2320           break;
2321
2322         /* -bV: Print version string and support details */
2323         case 'V':
2324           if (!*argrest)
2325             {
2326             printf("Exim version %s #%s built %s\n", version_string,
2327               version_cnumber, version_date);
2328             printf("%s\n", CS version_copyright);
2329             version_printed = TRUE;
2330             show_whats_supported(stdout);
2331             f.log_testing_mode = TRUE;
2332             }
2333           else badarg = TRUE;
2334           break;
2335
2336         /* -bw: inetd wait mode, accept a listening socket as stdin */
2337         case 'w':
2338           f.inetd_wait_mode = TRUE;
2339           f.background_daemon = FALSE;
2340           f.daemon_listen = TRUE;
2341           if (*argrest)
2342             if ((inetd_wait_timeout = readconf_readtime(argrest, 0, FALSE)) <= 0)
2343               exim_fail("exim: bad time value %s: abandoned\n", argv[i]);
2344           break;
2345
2346         default:
2347           badarg = TRUE;
2348           break;
2349         }
2350       break;
2351       }
2352
2353
2354     /* -C: change configuration file list; ignore if it isn't really
2355     a change! Enforce a prefix check if required. */
2356
2357     case 'C':
2358     if (!*argrest)
2359       if (++i < argc) argrest = argv[i]; else { badarg = TRUE; break; }
2360     if (Ustrcmp(config_main_filelist, argrest) != 0)
2361       {
2362       #ifdef ALT_CONFIG_PREFIX
2363       int sep = 0;
2364       int len = Ustrlen(ALT_CONFIG_PREFIX);
2365       const uschar *list = argrest;
2366       uschar *filename;
2367       while((filename = string_nextinlist(&list, &sep, big_buffer,
2368              big_buffer_size)))
2369         if (  (  Ustrlen(filename) < len
2370               || Ustrncmp(filename, ALT_CONFIG_PREFIX, len) != 0
2371               || Ustrstr(filename, "/../") != NULL
2372               )
2373            && (Ustrcmp(filename, "/dev/null") != 0 || real_uid != root_uid)
2374            )
2375           exim_fail("-C Permission denied\n");
2376       #endif
2377       if (real_uid != root_uid)
2378         {
2379         #ifdef TRUSTED_CONFIG_LIST
2380
2381         if (real_uid != exim_uid
2382             #ifdef CONFIGURE_OWNER
2383             && real_uid != config_uid
2384             #endif
2385             )
2386           f.trusted_config = FALSE;
2387         else
2388           {
2389           FILE *trust_list = Ufopen(TRUSTED_CONFIG_LIST, "rb");
2390           if (trust_list)
2391             {
2392             struct stat statbuf;
2393
2394             if (fstat(fileno(trust_list), &statbuf) != 0 ||
2395                 (statbuf.st_uid != root_uid        /* owner not root */
2396                  #ifdef CONFIGURE_OWNER
2397                  && statbuf.st_uid != config_uid   /* owner not the special one */
2398                  #endif
2399                    ) ||                            /* or */
2400                 (statbuf.st_gid != root_gid        /* group not root */
2401                  #ifdef CONFIGURE_GROUP
2402                  && statbuf.st_gid != config_gid   /* group not the special one */
2403                  #endif
2404                  && (statbuf.st_mode & 020) != 0   /* group writeable */
2405                    ) ||                            /* or */
2406                 (statbuf.st_mode & 2) != 0)        /* world writeable */
2407               {
2408               f.trusted_config = FALSE;
2409               fclose(trust_list);
2410               }
2411             else
2412               {
2413               /* Well, the trust list at least is up to scratch... */
2414               rmark reset_point;
2415               uschar *trusted_configs[32];
2416               int nr_configs = 0;
2417               int i = 0;
2418               int old_pool = store_pool;
2419               store_pool = POOL_MAIN;
2420
2421               reset_point = store_mark();
2422               while (Ufgets(big_buffer, big_buffer_size, trust_list))
2423                 {
2424                 uschar *start = big_buffer, *nl;
2425                 while (*start && isspace(*start))
2426                 start++;
2427                 if (*start != '/')
2428                   continue;
2429                 nl = Ustrchr(start, '\n');
2430                 if (nl)
2431                   *nl = 0;
2432                 trusted_configs[nr_configs++] = string_copy(start);
2433                 if (nr_configs == nelem(trusted_configs))
2434                   break;
2435                 }
2436               fclose(trust_list);
2437
2438               if (nr_configs)
2439                 {
2440                 int sep = 0;
2441                 const uschar *list = argrest;
2442                 uschar *filename;
2443                 while (f.trusted_config && (filename = string_nextinlist(&list,
2444                         &sep, big_buffer, big_buffer_size)))
2445                   {
2446                   for (i=0; i < nr_configs; i++)
2447                     if (Ustrcmp(filename, trusted_configs[i]) == 0)
2448                       break;
2449                   if (i == nr_configs)
2450                     {
2451                     f.trusted_config = FALSE;
2452                     break;
2453                     }
2454                   }
2455                 }
2456               else      /* No valid prefixes found in trust_list file. */
2457                 f.trusted_config = FALSE;
2458               store_reset(reset_point);
2459               store_pool = old_pool;
2460               }
2461             }
2462           else          /* Could not open trust_list file. */
2463             f.trusted_config = FALSE;
2464           }
2465       #else
2466         /* Not root; don't trust config */
2467         f.trusted_config = FALSE;
2468       #endif
2469         }
2470
2471       config_main_filelist = argrest;
2472       f.config_changed = TRUE;
2473       }
2474     break;
2475
2476
2477     /* -D: set up a macro definition */
2478
2479     case 'D':
2480 #ifdef DISABLE_D_OPTION
2481       exim_fail("exim: -D is not available in this Exim binary\n");
2482 #else
2483       {
2484       int ptr = 0;
2485       macro_item *m;
2486       uschar name[24];
2487       uschar *s = argrest;
2488
2489       opt_D_used = TRUE;
2490       while (isspace(*s)) s++;
2491
2492       if (*s < 'A' || *s > 'Z')
2493         exim_fail("exim: macro name set by -D must start with "
2494           "an upper case letter\n");
2495
2496       while (isalnum(*s) || *s == '_')
2497         {
2498         if (ptr < sizeof(name)-1) name[ptr++] = *s;
2499         s++;
2500         }
2501       name[ptr] = 0;
2502       if (ptr == 0) { badarg = TRUE; break; }
2503       while (isspace(*s)) s++;
2504       if (*s != 0)
2505         {
2506         if (*s++ != '=') { badarg = TRUE; break; }
2507         while (isspace(*s)) s++;
2508         }
2509
2510       for (m = macros_user; m; m = m->next)
2511         if (Ustrcmp(m->name, name) == 0)
2512           exim_fail("exim: duplicated -D in command line\n");
2513
2514       m = macro_create(name, s, TRUE);
2515
2516       if (clmacro_count >= MAX_CLMACROS)
2517         exim_fail("exim: too many -D options on command line\n");
2518       clmacros[clmacro_count++] =
2519         string_sprintf("-D%s=%s", m->name, m->replacement);
2520       }
2521     #endif
2522     break;
2523
2524     /* -d: Set debug level (see also -v below) or set the drop_cr option.
2525     The latter is now a no-op, retained for compatibility only. If -dd is used,
2526     debugging subprocesses of the daemon is disabled. */
2527
2528     case 'd':
2529     if (Ustrcmp(argrest, "ropcr") == 0)
2530       {
2531       /* drop_cr = TRUE; */
2532       }
2533
2534     /* Use an intermediate variable so that we don't set debugging while
2535     decoding the debugging bits. */
2536
2537     else
2538       {
2539       unsigned int selector = D_default;
2540       debug_selector = 0;
2541       debug_file = NULL;
2542       if (*argrest == 'd')
2543         {
2544         f.debug_daemon = TRUE;
2545         argrest++;
2546         }
2547       if (*argrest)
2548         decode_bits(&selector, 1, debug_notall, argrest,
2549           debug_options, debug_options_count, US"debug", 0);
2550       debug_selector = selector;
2551       }
2552     break;
2553
2554
2555     /* -E: This is a local error message. This option is not intended for
2556     external use at all, but is not restricted to trusted callers because it
2557     does no harm (just suppresses certain error messages) and if Exim is run
2558     not setuid root it won't always be trusted when it generates error
2559     messages using this option. If there is a message id following -E, point
2560     message_reference at it, for logging. */
2561
2562     case 'E':
2563     f.local_error_message = TRUE;
2564     if (mac_ismsgid(argrest)) message_reference = argrest;
2565     break;
2566
2567
2568     /* -ex: The vacation program calls sendmail with the undocumented "-eq"
2569     option, so it looks as if historically the -oex options are also callable
2570     without the leading -o. So we have to accept them. Before the switch,
2571     anything starting -oe has been converted to -e. Exim does not support all
2572     of the sendmail error options. */
2573
2574     case 'e':
2575     if (Ustrcmp(argrest, "e") == 0)
2576       {
2577       arg_error_handling = ERRORS_SENDER;
2578       errors_sender_rc = EXIT_SUCCESS;
2579       }
2580     else if (Ustrcmp(argrest, "m") == 0) arg_error_handling = ERRORS_SENDER;
2581     else if (Ustrcmp(argrest, "p") == 0) arg_error_handling = ERRORS_STDERR;
2582     else if (Ustrcmp(argrest, "q") == 0) arg_error_handling = ERRORS_STDERR;
2583     else if (Ustrcmp(argrest, "w") == 0) arg_error_handling = ERRORS_SENDER;
2584     else badarg = TRUE;
2585     break;
2586
2587
2588     /* -F: Set sender's full name, used instead of the gecos entry from
2589     the password file. Since users can usually alter their gecos entries,
2590     there's no security involved in using this instead. The data can follow
2591     the -F or be in the next argument. */
2592
2593     case 'F':
2594     if (!*argrest)
2595       if (++i < argc) argrest = argv[i]; else { badarg = TRUE; break; }
2596     originator_name = string_copy_taint(argrest, TRUE);
2597     f.sender_name_forced = TRUE;
2598     break;
2599
2600
2601     /* -f: Set sender's address - this value is only actually used if Exim is
2602     run by a trusted user, or if untrusted_set_sender is set and matches the
2603     address, except that the null address can always be set by any user. The
2604     test for this happens later, when the value given here is ignored when not
2605     permitted. For an untrusted user, the actual sender is still put in Sender:
2606     if it doesn't match the From: header (unless no_local_from_check is set).
2607     The data can follow the -f or be in the next argument. The -r switch is an
2608     obsolete form of -f but since there appear to be programs out there that
2609     use anything that sendmail has ever supported, better accept it - the
2610     synonymizing is done before the switch above.
2611
2612     At this stage, we must allow domain literal addresses, because we don't
2613     know what the setting of allow_domain_literals is yet. Ditto for trailing
2614     dots and strip_trailing_dot. */
2615
2616     case 'f':
2617       {
2618       int dummy_start, dummy_end;
2619       uschar *errmess;
2620       if (!*argrest)
2621         if (i+1 < argc) argrest = argv[++i]; else { badarg = TRUE; break; }
2622       if (!*argrest)
2623         *(sender_address = store_get(1, FALSE)) = '\0';  /* Ensure writeable memory */
2624       else
2625         {
2626         uschar * temp = argrest + Ustrlen(argrest) - 1;
2627         while (temp >= argrest && isspace(*temp)) temp--;
2628         if (temp >= argrest && *temp == '.') f_end_dot = TRUE;
2629         allow_domain_literals = TRUE;
2630         strip_trailing_dot = TRUE;
2631 #ifdef SUPPORT_I18N
2632         allow_utf8_domains = TRUE;
2633 #endif
2634         if (!(sender_address = parse_extract_address(argrest, &errmess,
2635                   &dummy_start, &dummy_end, &sender_address_domain, TRUE)))
2636           exim_fail("exim: bad -f address \"%s\": %s\n", argrest, errmess);
2637
2638         sender_address = string_copy_taint(sender_address, TRUE);
2639 #ifdef SUPPORT_I18N
2640         message_smtputf8 =  string_is_utf8(sender_address);
2641         allow_utf8_domains = FALSE;
2642 #endif
2643         allow_domain_literals = FALSE;
2644         strip_trailing_dot = FALSE;
2645         }
2646       f.sender_address_forced = TRUE;
2647       }
2648     break;
2649
2650     /* -G: sendmail invocation to specify that it's a gateway submission and
2651     sendmail may complain about problems instead of fixing them.
2652     We make it equivalent to an ACL "control = suppress_local_fixups" and do
2653     not at this time complain about problems. */
2654
2655     case 'G':
2656     flag_G = TRUE;
2657     break;
2658
2659     /* -h: Set the hop count for an incoming message. Exim does not currently
2660     support this; it always computes it by counting the Received: headers.
2661     To put it in will require a change to the spool header file format. */
2662
2663     case 'h':
2664     if (!*argrest)
2665       if (++i < argc) argrest = argv[i]; else { badarg = TRUE; break; }
2666     if (!isdigit(*argrest)) badarg = TRUE;
2667     break;
2668
2669
2670     /* -i: Set flag so dot doesn't end non-SMTP input (same as -oi, seems
2671     not to be documented for sendmail but mailx (at least) uses it) */
2672
2673     case 'i':
2674     if (!*argrest) f.dot_ends = FALSE; else badarg = TRUE;
2675     break;
2676
2677
2678     /* -L: set the identifier used for syslog; equivalent to setting
2679     syslog_processname in the config file, but needs to be an admin option. */
2680
2681     case 'L':
2682     if (!*argrest)
2683       if (++i < argc) argrest = argv[i]; else { badarg = TRUE; break; }
2684     if ((sz = Ustrlen(argrest)) > 32)
2685       exim_fail("exim: the -L syslog name is too long: \"%s\"\n", argrest);
2686     if (sz < 1)
2687       exim_fail("exim: the -L syslog name is too short\n");
2688     cmdline_syslog_name = string_copy_taint(argrest, TRUE);
2689     break;
2690
2691     case 'M':
2692     receiving_message = FALSE;
2693
2694     /* -MC:  continue delivery of another message via an existing open
2695     file descriptor. This option is used for an internal call by the
2696     smtp transport when there is a pending message waiting to go to an
2697     address to which it has got a connection. Five subsequent arguments are
2698     required: transport name, host name, IP address, sequence number, and
2699     message_id. Transports may decline to create new processes if the sequence
2700     number gets too big. The channel is stdin. This (-MC) must be the last
2701     argument. There's a subsequent check that the real-uid is privileged.
2702
2703     If we are running in the test harness. delay for a bit, to let the process
2704     that set this one up complete. This makes for repeatability of the logging,
2705     etc. output. */
2706
2707     if (Ustrcmp(argrest, "C") == 0)
2708       {
2709       union sockaddr_46 interface_sock;
2710       EXIM_SOCKLEN_T size = sizeof(interface_sock);
2711
2712       if (argc != i + 6)
2713         exim_fail("exim: too many or too few arguments after -MC\n");
2714
2715       if (msg_action_arg >= 0)
2716         exim_fail("exim: incompatible arguments\n");
2717
2718       continue_transport = string_copy_taint(argv[++i], TRUE);
2719       continue_hostname = string_copy_taint(argv[++i], TRUE);
2720       continue_host_address = string_copy_taint(argv[++i], TRUE);
2721       continue_sequence = Uatoi(argv[++i]);
2722       msg_action = MSG_DELIVER;
2723       msg_action_arg = ++i;
2724       forced_delivery = TRUE;
2725       queue_run_pid = passed_qr_pid;
2726       queue_run_pipe = passed_qr_pipe;
2727
2728       if (!mac_ismsgid(argv[i]))
2729         exim_fail("exim: malformed message id %s after -MC option\n",
2730           argv[i]);
2731
2732       /* Set up $sending_ip_address and $sending_port, unless proxied */
2733
2734       if (!continue_proxy_cipher)
2735         if (getsockname(fileno(stdin), (struct sockaddr *)(&interface_sock),
2736             &size) == 0)
2737           sending_ip_address = host_ntoa(-1, &interface_sock, NULL,
2738             &sending_port);
2739         else
2740           exim_fail("exim: getsockname() failed after -MC option: %s\n",
2741             strerror(errno));
2742
2743       testharness_pause_ms(500);
2744       break;
2745       }
2746
2747     else if (*argrest == 'C' && argrest[1] && !argrest[2])
2748       {
2749       switch(argrest[1])
2750         {
2751     /* -MCA: set the smtp_authenticated flag; this is useful only when it
2752     precedes -MC (see above). The flag indicates that the host to which
2753     Exim is connected has accepted an AUTH sequence. */
2754
2755         case 'A': f.smtp_authenticated = TRUE; break;
2756
2757     /* -MCD: set the smtp_use_dsn flag; this indicates that the host
2758        that exim is connected to supports the esmtp extension DSN */
2759
2760         case 'D': smtp_peer_options |= OPTION_DSN; break;
2761
2762     /* -MCd: for debug, set a process-purpose string */
2763
2764         case 'd': if (++i < argc)
2765                     process_purpose = string_copy_taint(argv[i], TRUE);
2766                   else badarg = TRUE;
2767                   break;
2768
2769     /* -MCG: set the queue name, to a non-default value */
2770
2771         case 'G': if (++i < argc) queue_name = string_copy_taint(argv[i], TRUE);
2772                   else badarg = TRUE;
2773                   break;
2774
2775     /* -MCK: the peer offered CHUNKING.  Must precede -MC */
2776
2777         case 'K': smtp_peer_options |= OPTION_CHUNKING; break;
2778
2779     /* -MCP: set the smtp_use_pipelining flag; this is useful only when
2780     it preceded -MC (see above) */
2781
2782         case 'P': smtp_peer_options |= OPTION_PIPE; break;
2783
2784     /* -MCQ: pass on the pid of the queue-running process that started
2785     this chain of deliveries and the fd of its synchronizing pipe; this
2786     is useful only when it precedes -MC (see above) */
2787
2788         case 'Q': if (++i < argc) passed_qr_pid = (pid_t)(Uatol(argv[i]));
2789                   else badarg = TRUE;
2790                   if (++i < argc) passed_qr_pipe = (int)(Uatol(argv[i]));
2791                   else badarg = TRUE;
2792                   break;
2793
2794     /* -MCq: do a quota check on the given recipient for the given size
2795     of message.  Separate from -MC. */
2796         case 'q': rcpt_verify_quota = TRUE;
2797                   if (++i < argc) message_size = Uatoi(argv[i]);
2798                   else badarg = TRUE;
2799                   break;
2800
2801     /* -MCS: set the smtp_use_size flag; this is useful only when it
2802     precedes -MC (see above) */
2803
2804         case 'S': smtp_peer_options |= OPTION_SIZE; break;
2805
2806 #ifndef DISABLE_TLS
2807     /* -MCt: similar to -MCT below but the connection is still open
2808     via a proxy process which handles the TLS context and coding.
2809     Require three arguments for the proxied local address and port,
2810     and the TLS cipher.  */
2811
2812         case 't': if (++i < argc)
2813                     sending_ip_address = string_copy_taint(argv[i], TRUE);
2814                   else badarg = TRUE;
2815                   if (++i < argc)
2816                     sending_port = (int)(Uatol(argv[i]));
2817                   else badarg = TRUE;
2818                   if (++i < argc)
2819                     continue_proxy_cipher = string_copy_taint(argv[i], TRUE);
2820                   else badarg = TRUE;
2821                   /*FALLTHROUGH*/
2822
2823     /* -MCT: set the tls_offered flag; this is useful only when it
2824     precedes -MC (see above). The flag indicates that the host to which
2825     Exim is connected has offered TLS support. */
2826
2827         case 'T': smtp_peer_options |= OPTION_TLS; break;
2828 #endif
2829
2830         default:  badarg = TRUE; break;
2831         }
2832       break;
2833       }
2834
2835     /* -M[x]: various operations on the following list of message ids:
2836        -M    deliver the messages, ignoring next retry times and thawing
2837        -Mc   deliver the messages, checking next retry times, no thawing
2838        -Mf   freeze the messages
2839        -Mg   give up on the messages
2840        -Mt   thaw the messages
2841        -Mrm  remove the messages
2842     In the above cases, this must be the last option. There are also the
2843     following options which are followed by a single message id, and which
2844     act on that message. Some of them use the "recipient" addresses as well.
2845        -Mar  add recipient(s)
2846        -Mmad mark all recipients delivered
2847        -Mmd  mark recipients(s) delivered
2848        -Mes  edit sender
2849        -Mset load a message for use with -be
2850        -Mvb  show body
2851        -Mvc  show copy (of whole message, in RFC 2822 format)
2852        -Mvh  show header
2853        -Mvl  show log
2854     */
2855
2856     else if (!*argrest)
2857       {
2858       msg_action = MSG_DELIVER;
2859       forced_delivery = f.deliver_force_thaw = TRUE;
2860       }
2861     else if (Ustrcmp(argrest, "ar") == 0)
2862       {
2863       msg_action = MSG_ADD_RECIPIENT;
2864       one_msg_action = TRUE;
2865       }
2866     else if (Ustrcmp(argrest, "c") == 0)  msg_action = MSG_DELIVER;
2867     else if (Ustrcmp(argrest, "es") == 0)
2868       {
2869       msg_action = MSG_EDIT_SENDER;
2870       one_msg_action = TRUE;
2871       }
2872     else if (Ustrcmp(argrest, "f") == 0)  msg_action = MSG_FREEZE;
2873     else if (Ustrcmp(argrest, "g") == 0)
2874       {
2875       msg_action = MSG_DELIVER;
2876       deliver_give_up = TRUE;
2877       }
2878    else if (Ustrcmp(argrest, "G") == 0)
2879       {
2880       msg_action = MSG_SETQUEUE;
2881       queue_name_dest = string_copy_taint(argv[++i], TRUE);
2882       }
2883     else if (Ustrcmp(argrest, "mad") == 0)
2884       {
2885       msg_action = MSG_MARK_ALL_DELIVERED;
2886       }
2887     else if (Ustrcmp(argrest, "md") == 0)
2888       {
2889       msg_action = MSG_MARK_DELIVERED;
2890       one_msg_action = TRUE;
2891       }
2892     else if (Ustrcmp(argrest, "rm") == 0) msg_action = MSG_REMOVE;
2893     else if (Ustrcmp(argrest, "set") == 0)
2894       {
2895       msg_action = MSG_LOAD;
2896       one_msg_action = TRUE;
2897       }
2898     else if (Ustrcmp(argrest, "t") == 0)  msg_action = MSG_THAW;
2899     else if (Ustrcmp(argrest, "vb") == 0)
2900       {
2901       msg_action = MSG_SHOW_BODY;
2902       one_msg_action = TRUE;
2903       }
2904     else if (Ustrcmp(argrest, "vc") == 0)
2905       {
2906       msg_action = MSG_SHOW_COPY;
2907       one_msg_action = TRUE;
2908       }
2909     else if (Ustrcmp(argrest, "vh") == 0)
2910       {
2911       msg_action = MSG_SHOW_HEADER;
2912       one_msg_action = TRUE;
2913       }
2914     else if (Ustrcmp(argrest, "vl") == 0)
2915       {
2916       msg_action = MSG_SHOW_LOG;
2917       one_msg_action = TRUE;
2918       }
2919     else { badarg = TRUE; break; }
2920
2921     /* All the -Mxx options require at least one message id. */
2922
2923     msg_action_arg = i + 1;
2924     if (msg_action_arg >= argc)
2925       exim_fail("exim: no message ids given after %s option\n", arg);
2926
2927     /* Some require only message ids to follow */
2928
2929     if (!one_msg_action)
2930       {
2931       for (int j = msg_action_arg; j < argc; j++) if (!mac_ismsgid(argv[j]))
2932         exim_fail("exim: malformed message id %s after %s option\n",
2933           argv[j], arg);
2934       goto END_ARG;   /* Remaining args are ids */
2935       }
2936
2937     /* Others require only one message id, possibly followed by addresses,
2938     which will be handled as normal arguments. */
2939
2940     else
2941       {
2942       if (!mac_ismsgid(argv[msg_action_arg]))
2943         exim_fail("exim: malformed message id %s after %s option\n",
2944           argv[msg_action_arg], arg);
2945       i++;
2946       }
2947     break;
2948
2949
2950     /* Some programs seem to call the -om option without the leading o;
2951     for sendmail it askes for "me too". Exim always does this. */
2952
2953     case 'm':
2954     if (*argrest) badarg = TRUE;
2955     break;
2956
2957
2958     /* -N: don't do delivery - a debugging option that stops transports doing
2959     their thing. It implies debugging at the D_v level. */
2960
2961     case 'N':
2962     if (!*argrest)
2963       {
2964       f.dont_deliver = TRUE;
2965       debug_selector |= D_v;
2966       debug_file = stderr;
2967       }
2968     else badarg = TRUE;
2969     break;
2970
2971
2972     /* -n: This means "don't alias" in sendmail, apparently.
2973     For normal invocations, it has no effect.
2974     It may affect some other options. */
2975
2976     case 'n':
2977     flag_n = TRUE;
2978     break;
2979
2980     /* -O: Just ignore it. In sendmail, apparently -O option=value means set
2981     option to the specified value. This form uses long names. We need to handle
2982     -O option=value and -Ooption=value. */
2983
2984     case 'O':
2985     if (!*argrest)
2986       if (++i >= argc)
2987         exim_fail("exim: string expected after -O\n");
2988     break;
2989
2990     case 'o':
2991     switch (*argrest++)
2992       {
2993       /* -oA: Set an argument for the bi command (sendmail's "alternate alias
2994       file" option). */
2995       case 'A':
2996         if (!*(alias_arg = argrest))
2997           if (i+1 < argc) alias_arg = argv[++i];
2998           else exim_fail("exim: string expected after -oA\n");
2999         break;
3000
3001       /* -oB: Set a connection message max value for remote deliveries */
3002       case 'B':
3003         {
3004         uschar * p = argrest;
3005         if (!*p)
3006           if (i+1 < argc && isdigit((argv[i+1][0])))
3007             p = argv[++i];
3008           else
3009             {
3010             connection_max_messages = 1;
3011             p = NULL;
3012             }
3013
3014         if (p)
3015           {
3016           if (!isdigit(*p))
3017             exim_fail("exim: number expected after -oB\n");
3018           connection_max_messages = Uatoi(p);
3019           }
3020         }
3021         break;
3022
3023       /* -odb: background delivery */
3024
3025       case 'd':
3026         if (Ustrcmp(argrest, "b") == 0)
3027           {
3028           f.synchronous_delivery = FALSE;
3029           arg_queue_only = FALSE;
3030           queue_only_set = TRUE;
3031           }
3032
3033       /* -odd: testsuite-only: add no inter-process delays */
3034
3035         else if (Ustrcmp(argrest, "d") == 0)
3036           f.testsuite_delays = FALSE;
3037
3038       /* -odf: foreground delivery (smail-compatible option); same effect as
3039          -odi: interactive (synchronous) delivery (sendmail-compatible option)
3040       */
3041
3042         else if (Ustrcmp(argrest, "f") == 0 || Ustrcmp(argrest, "i") == 0)
3043           {
3044           f.synchronous_delivery = TRUE;
3045           arg_queue_only = FALSE;
3046           queue_only_set = TRUE;
3047           }
3048
3049       /* -odq: queue only */
3050
3051         else if (Ustrcmp(argrest, "q") == 0)
3052           {
3053           f.synchronous_delivery = FALSE;
3054           arg_queue_only = TRUE;
3055           queue_only_set = TRUE;
3056           }
3057
3058       /* -odqs: queue SMTP only - do local deliveries and remote routing,
3059       but no remote delivery */
3060
3061         else if (Ustrcmp(argrest, "qs") == 0)
3062           {
3063           f.queue_smtp = TRUE;
3064           arg_queue_only = FALSE;
3065           queue_only_set = TRUE;
3066           }
3067         else badarg = TRUE;
3068         break;
3069
3070       /* -oex: Sendmail error flags. As these are also accepted without the
3071       leading -o prefix, for compatibility with vacation and other callers,
3072       they are handled with -e above. */
3073
3074       /* -oi:     Set flag so dot doesn't end non-SMTP input (same as -i)
3075          -oitrue: Another sendmail syntax for the same */
3076
3077       case 'i':
3078         if (!*argrest || Ustrcmp(argrest, "true") == 0)
3079           f.dot_ends = FALSE;
3080         else badarg = TRUE;
3081         break;
3082
3083     /* -oM*: Set various characteristics for an incoming message; actually
3084     acted on for trusted callers only. */
3085
3086       case 'M':
3087         {
3088         if (i+1 >= argc)
3089           exim_fail("exim: data expected after -oM%s\n", argrest);
3090
3091         /* -oMa: Set sender host address */
3092
3093         if (Ustrcmp(argrest, "a") == 0)
3094           sender_host_address = string_copy_taint(argv[++i], TRUE);
3095
3096         /* -oMaa: Set authenticator name */
3097
3098         else if (Ustrcmp(argrest, "aa") == 0)
3099           sender_host_authenticated = string_copy_taint(argv[++i], TRUE);
3100
3101         /* -oMas: setting authenticated sender */
3102
3103         else if (Ustrcmp(argrest, "as") == 0)
3104           authenticated_sender = string_copy_taint(argv[++i], TRUE);
3105
3106         /* -oMai: setting authenticated id */
3107
3108         else if (Ustrcmp(argrest, "ai") == 0)
3109           authenticated_id = string_copy_taint(argv[++i], TRUE);
3110
3111         /* -oMi: Set incoming interface address */
3112
3113         else if (Ustrcmp(argrest, "i") == 0)
3114           interface_address = string_copy_taint(argv[++i], TRUE);
3115
3116         /* -oMm: Message reference */
3117
3118         else if (Ustrcmp(argrest, "m") == 0)
3119           {
3120           if (!mac_ismsgid(argv[i+1]))
3121               exim_fail("-oMm must be a valid message ID\n");
3122           if (!f.trusted_config)
3123               exim_fail("-oMm must be called by a trusted user/config\n");
3124             message_reference = argv[++i];
3125           }
3126
3127         /* -oMr: Received protocol */
3128
3129         else if (Ustrcmp(argrest, "r") == 0)
3130
3131           if (received_protocol)
3132             exim_fail("received_protocol is set already\n");
3133           else
3134             received_protocol = string_copy_taint(argv[++i], TRUE);
3135
3136         /* -oMs: Set sender host name */
3137
3138         else if (Ustrcmp(argrest, "s") == 0)
3139           sender_host_name = string_copy_taint(argv[++i], TRUE);
3140
3141         /* -oMt: Set sender ident */
3142
3143         else if (Ustrcmp(argrest, "t") == 0)
3144           {
3145           sender_ident_set = TRUE;
3146           sender_ident = string_copy_taint(argv[++i], TRUE);
3147           }
3148
3149         /* Else a bad argument */
3150
3151         else
3152           badarg = TRUE;
3153         }
3154         break;
3155
3156       /* -om: Me-too flag for aliases. Exim always does this. Some programs
3157       seem to call this as -m (undocumented), so that is also accepted (see
3158       above). */
3159       /* -oo: An ancient flag for old-style addresses which still seems to
3160       crop up in some calls (see in SCO). */
3161
3162       case 'm':
3163       case 'o':
3164         if (*argrest) badarg = TRUE;
3165         break;
3166
3167       /* -oP <name>: set pid file path for daemon
3168          -oPX:       delete pid file of daemon */
3169
3170       case 'P':
3171         if (!*argrest) override_pid_file_path = argv[++i];
3172         else if (Ustrcmp(argrest, "X") == 0) delete_pid_file();
3173         else badarg = TRUE;
3174         break;
3175
3176
3177       /* -or <n>: set timeout for non-SMTP acceptance
3178          -os <n>: set timeout for SMTP acceptance */
3179
3180       case 'r':
3181       case 's':
3182         {
3183         int * tp = argrest[-1] == 'r'
3184           ? &arg_receive_timeout : &arg_smtp_receive_timeout;
3185         if (*argrest)
3186           *tp = readconf_readtime(argrest, 0, FALSE);
3187         else if (i+1 < argc)
3188           *tp = readconf_readtime(argv[++i], 0, FALSE);
3189
3190         if (*tp < 0)
3191           exim_fail("exim: bad time value %s: abandoned\n", argv[i]);
3192         }
3193         break;
3194
3195       /* -oX <list>: Override local_interfaces and/or default daemon ports */
3196
3197       case 'X':
3198         if (*argrest) badarg = TRUE;
3199         else override_local_interfaces = string_copy_taint(argv[++i], TRUE);
3200         break;
3201
3202       /* Unknown -o argument */
3203
3204       default:
3205         badarg = TRUE;
3206       }
3207     break;
3208
3209
3210     /* -ps: force Perl startup; -pd force delayed Perl startup */
3211
3212     case 'p':
3213     #ifdef EXIM_PERL
3214     if (*argrest == 's' && argrest[1] == 0)
3215       {
3216       perl_start_option = 1;
3217       break;
3218       }
3219     if (*argrest == 'd' && argrest[1] == 0)
3220       {
3221       perl_start_option = -1;
3222       break;
3223       }
3224     #endif
3225
3226     /* -panythingelse is taken as the Sendmail-compatible argument -prval:sval,
3227     which sets the host protocol and host name */
3228
3229     if (!*argrest)
3230       if (i+1 < argc) argrest = argv[++i]; else { badarg = TRUE; break; }
3231
3232     if (*argrest)
3233       {
3234       uschar * hn = Ustrchr(argrest, ':');
3235
3236       if (received_protocol)
3237         exim_fail("received_protocol is set already\n");
3238
3239       if (!hn)
3240         received_protocol = string_copy_taint(argrest, TRUE);
3241       else
3242         {
3243         received_protocol = string_copyn_taint(argrest, hn - argrest, TRUE);
3244         sender_host_name = string_copy_taint(hn + 1, TRUE);
3245         }
3246       }
3247     break;
3248
3249
3250     case 'q':
3251     receiving_message = FALSE;
3252     if (queue_interval >= 0)
3253       exim_fail("exim: -q specified more than once\n");
3254
3255     /* -qq...: Do queue runs in a 2-stage manner */
3256
3257     if (*argrest == 'q')
3258       {
3259       f.queue_2stage = TRUE;
3260       argrest++;
3261       }
3262
3263     /* -qi...: Do only first (initial) deliveries */
3264
3265     if (*argrest == 'i')
3266       {
3267       f.queue_run_first_delivery = TRUE;
3268       argrest++;
3269       }
3270
3271     /* -qf...: Run the queue, forcing deliveries
3272        -qff..: Ditto, forcing thawing as well */
3273
3274     if (*argrest == 'f')
3275       {
3276       f.queue_run_force = TRUE;
3277       if (*++argrest == 'f')
3278         {
3279         f.deliver_force_thaw = TRUE;
3280         argrest++;
3281         }
3282       }
3283
3284     /* -q[f][f]l...: Run the queue only on local deliveries */
3285
3286     if (*argrest == 'l')
3287       {
3288       f.queue_run_local = TRUE;
3289       argrest++;
3290       }
3291
3292     /* -q[f][f][l][G<name>]... Work on the named queue */
3293
3294     if (*argrest == 'G')
3295       {
3296       int i;
3297       for (argrest++, i = 0; argrest[i] && argrest[i] != '/'; ) i++;
3298       queue_name = string_copyn(argrest, i);
3299       argrest += i;
3300       if (*argrest == '/') argrest++;
3301       }
3302
3303     /* -q[f][f][l][G<name>]: Run the queue, optionally forced, optionally local
3304     only, optionally named, optionally starting from a given message id. */
3305
3306     if (!(list_queue || count_queue))
3307       if (  !*argrest
3308          && (i + 1 >= argc || argv[i+1][0] == '-' || mac_ismsgid(argv[i+1])))
3309         {
3310         queue_interval = 0;
3311         if (i+1 < argc && mac_ismsgid(argv[i+1]))
3312           start_queue_run_id = string_copy_taint(argv[++i], TRUE);
3313         if (i+1 < argc && mac_ismsgid(argv[i+1]))
3314           stop_queue_run_id = string_copy_taint(argv[++i], TRUE);
3315         }
3316
3317     /* -q[f][f][l][G<name>/]<n>: Run the queue at regular intervals, optionally
3318     forced, optionally local only, optionally named. */
3319
3320       else if ((queue_interval = readconf_readtime(*argrest ? argrest : argv[++i],
3321                                                   0, FALSE)) <= 0)
3322         exim_fail("exim: bad time value %s: abandoned\n", argv[i]);
3323     break;
3324
3325
3326     case 'R':   /* Synonymous with -qR... */
3327     receiving_message = FALSE;
3328
3329     /* -Rf:   As -R (below) but force all deliveries,
3330        -Rff:  Ditto, but also thaw all frozen messages,
3331        -Rr:   String is regex
3332        -Rrf:  Regex and force
3333        -Rrff: Regex and force and thaw
3334
3335     in all cases provided there are no further characters in this
3336     argument. */
3337
3338     if (*argrest)
3339       for (int i = 0; i < nelem(rsopts); i++)
3340         if (Ustrcmp(argrest, rsopts[i]) == 0)
3341           {
3342           if (i != 2) f.queue_run_force = TRUE;
3343           if (i >= 2) f.deliver_selectstring_regex = TRUE;
3344           if (i == 1 || i == 4) f.deliver_force_thaw = TRUE;
3345           argrest += Ustrlen(rsopts[i]);
3346           }
3347
3348     /* -R: Set string to match in addresses for forced queue run to
3349     pick out particular messages. */
3350
3351     if (*argrest)
3352       deliver_selectstring = string_copy_taint(argrest, TRUE);
3353     else if (i+1 < argc)
3354       deliver_selectstring = string_copy_taint(argv[++i], TRUE);
3355     else
3356       exim_fail("exim: string expected after -R\n");
3357     break;
3358
3359
3360     /* -r: an obsolete synonym for -f (see above) */
3361
3362
3363     /* -S: Like -R but works on sender. */
3364
3365     case 'S':   /* Synonymous with -qS... */
3366     receiving_message = FALSE;
3367
3368     /* -Sf:   As -S (below) but force all deliveries,
3369        -Sff:  Ditto, but also thaw all frozen messages,
3370        -Sr:   String is regex
3371        -Srf:  Regex and force
3372        -Srff: Regex and force and thaw
3373
3374     in all cases provided there are no further characters in this
3375     argument. */
3376
3377     if (*argrest)
3378       for (int i = 0; i < nelem(rsopts); i++)
3379         if (Ustrcmp(argrest, rsopts[i]) == 0)
3380           {
3381           if (i != 2) f.queue_run_force = TRUE;
3382           if (i >= 2) f.deliver_selectstring_sender_regex = TRUE;
3383           if (i == 1 || i == 4) f.deliver_force_thaw = TRUE;
3384           argrest += Ustrlen(rsopts[i]);
3385           }
3386
3387     /* -S: Set string to match in addresses for forced queue run to
3388     pick out particular messages. */
3389
3390     if (*argrest)
3391       deliver_selectstring_sender = string_copy_taint(argrest, TRUE);
3392     else if (i+1 < argc)
3393       deliver_selectstring_sender = string_copy_taint(argv[++i], TRUE);
3394     else
3395       exim_fail("exim: string expected after -S\n");
3396     break;
3397
3398     /* -Tqt is an option that is exclusively for use by the testing suite.
3399     It is not recognized in other circumstances. It allows for the setting up
3400     of explicit "queue times" so that various warning/retry things can be
3401     tested. Otherwise variability of clock ticks etc. cause problems. */
3402
3403     case 'T':
3404     if (f.running_in_test_harness && Ustrcmp(argrest, "qt") == 0)
3405       fudged_queue_times = string_copy_taint(argv[++i], TRUE);
3406     else badarg = TRUE;
3407     break;
3408
3409
3410     /* -t: Set flag to extract recipients from body of message. */
3411
3412     case 't':
3413     if (!*argrest) extract_recipients = TRUE;
3414
3415     /* -ti: Set flag to extract recipients from body of message, and also
3416     specify that dot does not end the message. */
3417
3418     else if (Ustrcmp(argrest, "i") == 0)
3419       {
3420       extract_recipients = TRUE;
3421       f.dot_ends = FALSE;
3422       }
3423
3424     /* -tls-on-connect: don't wait for STARTTLS (for old clients) */
3425
3426     #ifndef DISABLE_TLS
3427     else if (Ustrcmp(argrest, "ls-on-connect") == 0) tls_in.on_connect = TRUE;
3428     #endif
3429
3430     else badarg = TRUE;
3431     break;
3432
3433
3434     /* -U: This means "initial user submission" in sendmail, apparently. The
3435     doc claims that in future sendmail may refuse syntactically invalid
3436     messages instead of fixing them. For the moment, we just ignore it. */
3437
3438     case 'U':
3439     break;
3440
3441
3442     /* -v: verify things - this is a very low-level debugging */
3443
3444     case 'v':
3445     if (!*argrest)
3446       {
3447       debug_selector |= D_v;
3448       debug_file = stderr;
3449       }
3450     else badarg = TRUE;
3451     break;
3452
3453
3454     /* -x: AIX uses this to indicate some fancy 8-bit character stuff:
3455
3456       The -x flag tells the sendmail command that mail from a local
3457       mail program has National Language Support (NLS) extended characters
3458       in the body of the mail item. The sendmail command can send mail with
3459       extended NLS characters across networks that normally corrupts these
3460       8-bit characters.
3461
3462     As Exim is 8-bit clean, it just ignores this flag. */
3463
3464     case 'x':
3465     if (*argrest) badarg = TRUE;
3466     break;
3467
3468     /* -X: in sendmail: takes one parameter, logfile, and sends debugging
3469     logs to that file.  We swallow the parameter and otherwise ignore it. */
3470
3471     case 'X':
3472     if (!*argrest)
3473       if (++i >= argc)
3474         exim_fail("exim: string expected after -X\n");
3475     break;
3476
3477     case 'z':
3478     if (!*argrest)
3479       if (++i < argc)
3480         log_oneline = string_copy_taint(argv[i], TRUE);
3481       else
3482         exim_fail("exim: file name expected after %s\n", argv[i-1]);
3483     break;
3484
3485     /* All other initial characters are errors */
3486
3487     default:
3488     badarg = TRUE;
3489     break;
3490     }         /* End of high-level switch statement */
3491
3492   /* Failed to recognize the option, or syntax error */
3493
3494   if (badarg)
3495     exim_fail("exim abandoned: unknown, malformed, or incomplete "
3496       "option %s\n", arg);
3497   }
3498
3499
3500 /* If -R or -S have been specified without -q, assume a single queue run. */
3501
3502  if (  (deliver_selectstring || deliver_selectstring_sender)
3503     && queue_interval < 0)
3504   queue_interval = 0;
3505
3506
3507 END_ARG:
3508  store_pool = old_pool;
3509  }
3510
3511 /* If usage_wanted is set we call the usage function - which never returns */
3512 if (usage_wanted) exim_usage(called_as);
3513
3514 /* Arguments have been processed. Check for incompatibilities. */
3515 if (  (  (smtp_input || extract_recipients || recipients_arg < argc)
3516       && (  f.daemon_listen || queue_interval >= 0 || bi_option
3517          || test_retry_arg >= 0 || test_rewrite_arg >= 0
3518          || filter_test != FTEST_NONE
3519          || msg_action_arg > 0 && !one_msg_action
3520       )  )
3521    || (  msg_action_arg > 0
3522       && (  f.daemon_listen || queue_interval > 0 || list_options
3523          || checking && msg_action != MSG_LOAD
3524          || bi_option || test_retry_arg >= 0 || test_rewrite_arg >= 0
3525       )  )
3526    || (  (f.daemon_listen || queue_interval > 0)
3527       && (  sender_address || list_options || list_queue || checking
3528          || bi_option
3529       )  )
3530    || f.daemon_listen && queue_interval == 0
3531    || f.inetd_wait_mode && queue_interval >= 0
3532    || (  list_options
3533       && (  checking || smtp_input || extract_recipients
3534          || filter_test != FTEST_NONE || bi_option
3535       )  )
3536    || (  verify_address_mode
3537       && (  f.address_test_mode || smtp_input || extract_recipients
3538          || filter_test != FTEST_NONE || bi_option
3539       )  )
3540    || (  f.address_test_mode
3541       && (  smtp_input || extract_recipients || filter_test != FTEST_NONE
3542          || bi_option
3543       )  )
3544    || (  smtp_input
3545       && (sender_address || filter_test != FTEST_NONE || extract_recipients)
3546       )
3547    || deliver_selectstring && queue_interval < 0
3548    || msg_action == MSG_LOAD && (!expansion_test || expansion_test_message)
3549    )
3550   exim_fail("exim: incompatible command-line options or arguments\n");
3551
3552 /* If debugging is set up, set the file and the file descriptor to pass on to
3553 child processes. It should, of course, be 2 for stderr. Also, force the daemon
3554 to run in the foreground. */
3555
3556 if (debug_selector != 0)
3557   {
3558   debug_file = stderr;
3559   debug_fd = fileno(debug_file);
3560   f.background_daemon = FALSE;
3561   testharness_pause_ms(100);   /* lets caller finish */
3562   if (debug_selector != D_v)    /* -v only doesn't show this */
3563     {
3564     debug_printf("Exim version %s uid=%ld gid=%ld pid=%d D=%x\n",
3565       version_string, (long int)real_uid, (long int)real_gid, (int)getpid(),
3566       debug_selector);
3567     if (!version_printed)
3568       show_whats_supported(stderr);
3569     }
3570   }
3571
3572 /* When started with root privilege, ensure that the limits on the number of
3573 open files and the number of processes (where that is accessible) are
3574 sufficiently large, or are unset, in case Exim has been called from an
3575 environment where the limits are screwed down. Not all OS have the ability to
3576 change some of these limits. */
3577
3578 if (unprivileged)
3579   {
3580   DEBUG(D_any) debug_print_ids(US"Exim has no root privilege:");
3581   }
3582 else
3583   {
3584   struct rlimit rlp;
3585
3586   #ifdef RLIMIT_NOFILE
3587   if (getrlimit(RLIMIT_NOFILE, &rlp) < 0)
3588     {
3589     log_write(0, LOG_MAIN|LOG_PANIC, "getrlimit(RLIMIT_NOFILE) failed: %s",
3590       strerror(errno));
3591     rlp.rlim_cur = rlp.rlim_max = 0;
3592     }
3593
3594   /* I originally chose 1000 as a nice big number that was unlikely to
3595   be exceeded. It turns out that some older OS have a fixed upper limit of
3596   256. */
3597
3598   if (rlp.rlim_cur < 1000)
3599     {
3600     rlp.rlim_cur = rlp.rlim_max = 1000;
3601     if (setrlimit(RLIMIT_NOFILE, &rlp) < 0)
3602       {
3603       rlp.rlim_cur = rlp.rlim_max = 256;
3604       if (setrlimit(RLIMIT_NOFILE, &rlp) < 0)
3605         log_write(0, LOG_MAIN|LOG_PANIC, "setrlimit(RLIMIT_NOFILE) failed: %s",
3606           strerror(errno));
3607       }
3608     }
3609   #endif
3610
3611   #ifdef RLIMIT_NPROC
3612   if (getrlimit(RLIMIT_NPROC, &rlp) < 0)
3613     {
3614     log_write(0, LOG_MAIN|LOG_PANIC, "getrlimit(RLIMIT_NPROC) failed: %s",
3615       strerror(errno));
3616     rlp.rlim_cur = rlp.rlim_max = 0;
3617     }
3618
3619   #ifdef RLIM_INFINITY
3620   if (rlp.rlim_cur != RLIM_INFINITY && rlp.rlim_cur < 1000)
3621     {
3622     rlp.rlim_cur = rlp.rlim_max = RLIM_INFINITY;
3623   #else
3624   if (rlp.rlim_cur < 1000)
3625     {
3626     rlp.rlim_cur = rlp.rlim_max = 1000;
3627   #endif
3628     if (setrlimit(RLIMIT_NPROC, &rlp) < 0)
3629       log_write(0, LOG_MAIN|LOG_PANIC, "setrlimit(RLIMIT_NPROC) failed: %s",
3630         strerror(errno));
3631     }
3632   #endif
3633   }
3634
3635 /* Exim is normally entered as root (but some special configurations are
3636 possible that don't do this). However, it always spins off sub-processes that
3637 set their uid and gid as required for local delivery. We don't want to pass on
3638 any extra groups that root may belong to, so we want to get rid of them all at
3639 this point.
3640
3641 We need to obey setgroups() at this stage, before possibly giving up root
3642 privilege for a changed configuration file, but later on we might need to
3643 check on the additional groups for the admin user privilege - can't do that
3644 till after reading the config, which might specify the exim gid. Therefore,
3645 save the group list here first. */
3646
3647 if ((group_count = getgroups(nelem(group_list), group_list)) < 0)
3648   exim_fail("exim: getgroups() failed: %s\n", strerror(errno));
3649
3650 /* There is a fundamental difference in some BSD systems in the matter of
3651 groups. FreeBSD and BSDI are known to be different; NetBSD and OpenBSD are
3652 known not to be different. On the "different" systems there is a single group
3653 list, and the first entry in it is the current group. On all other versions of
3654 Unix there is a supplementary group list, which is in *addition* to the current
3655 group. Consequently, to get rid of all extraneous groups on a "standard" system
3656 you pass over 0 groups to setgroups(), while on a "different" system you pass
3657 over a single group - the current group, which is always the first group in the
3658 list. Calling setgroups() with zero groups on a "different" system results in
3659 an error return. The following code should cope with both types of system.
3660
3661  Unfortunately, recent MacOS, which should be a FreeBSD, "helpfully" succeeds
3662  the "setgroups() with zero groups" - and changes the egid.
3663  Thanks to that we had to stash the original_egid above, for use below
3664  in the call to exim_setugid().
3665
3666 However, if this process isn't running as root, setgroups() can't be used
3667 since you have to be root to run it, even if throwing away groups.
3668 Except, sigh, for Hurd - where you can.
3669 Not being root here happens only in some unusual configurations. */
3670
3671 if (  !unprivileged
3672 #ifndef OS_SETGROUPS_ZERO_DROPS_ALL
3673    && setgroups(0, NULL) != 0
3674 #endif
3675    && setgroups(1, group_list) != 0)
3676   exim_fail("exim: setgroups() failed: %s\n", strerror(errno));
3677
3678 /* If the configuration file name has been altered by an argument on the
3679 command line (either a new file name or a macro definition) and the caller is
3680 not root, or if this is a filter testing run, remove any setuid privilege the
3681 program has and run as the underlying user.
3682
3683 The exim user is locked out of this, which severely restricts the use of -C
3684 for some purposes.
3685
3686 Otherwise, set the real ids to the effective values (should be root unless run
3687 from inetd, which it can either be root or the exim uid, if one is configured).
3688
3689 There is a private mechanism for bypassing some of this, in order to make it
3690 possible to test lots of configurations automatically, without having either to
3691 recompile each time, or to patch in an actual configuration file name and other
3692 values (such as the path name). If running in the test harness, pretend that
3693 configuration file changes and macro definitions haven't happened. */
3694
3695 if ((                                            /* EITHER */
3696     (!f.trusted_config ||                          /* Config changed, or */
3697      !macros_trusted(opt_D_used)) &&             /*  impermissible macros and */
3698     real_uid != root_uid &&                      /* Not root, and */
3699     !f.running_in_test_harness                     /* Not fudged */
3700     ) ||                                         /*   OR   */
3701     expansion_test                               /* expansion testing */
3702     ||                                           /*   OR   */
3703     filter_test != FTEST_NONE)                   /* Filter testing */
3704   {
3705   setgroups(group_count, group_list);
3706   exim_setugid(real_uid, real_gid, FALSE,
3707     US"-C, -D, -be or -bf forces real uid");
3708   removed_privilege = TRUE;
3709
3710   /* In the normal case when Exim is called like this, stderr is available
3711   and should be used for any logging information because attempts to write
3712   to the log will usually fail. To arrange this, we unset really_exim. However,
3713   if no stderr is available there is no point - we might as well have a go
3714   at the log (if it fails, syslog will be written).
3715
3716   Note that if the invoker is Exim, the logs remain available. Messing with
3717   this causes unlogged successful deliveries.  */
3718
3719   if (log_stderr && real_uid != exim_uid)
3720     f.really_exim = FALSE;
3721   }
3722
3723 /* Privilege is to be retained for the moment. It may be dropped later,
3724 depending on the job that this Exim process has been asked to do. For now, set
3725 the real uid to the effective so that subsequent re-execs of Exim are done by a
3726 privileged user. */
3727
3728 else
3729   exim_setugid(geteuid(), original_egid, FALSE, US"forcing real = effective");
3730
3731 /* If testing a filter, open the file(s) now, before wasting time doing other
3732 setups and reading the message. */
3733
3734 if (filter_test & FTEST_SYSTEM)
3735   if ((filter_sfd = Uopen(filter_test_sfile, O_RDONLY, 0)) < 0)
3736     exim_fail("exim: failed to open %s: %s\n", filter_test_sfile,
3737       strerror(errno));
3738
3739 if (filter_test & FTEST_USER)
3740   if ((filter_ufd = Uopen(filter_test_ufile, O_RDONLY, 0)) < 0)
3741     exim_fail("exim: failed to open %s: %s\n", filter_test_ufile,
3742       strerror(errno));
3743
3744 /* Initialise lookup_list
3745 If debugging, already called above via version reporting.
3746 In either case, we initialise the list of available lookups while running
3747 as root.  All dynamically modules are loaded from a directory which is
3748 hard-coded into the binary and is code which, if not a module, would be
3749 part of Exim already.  Ability to modify the content of the directory
3750 is equivalent to the ability to modify a setuid binary!
3751
3752 This needs to happen before we read the main configuration. */
3753 init_lookup_list();
3754
3755 #ifdef SUPPORT_I18N
3756 if (f.running_in_test_harness) smtputf8_advertise_hosts = NULL;
3757 #endif
3758
3759 /* Read the main runtime configuration data; this gives up if there
3760 is a failure. It leaves the configuration file open so that the subsequent
3761 configuration data for delivery can be read if needed.
3762
3763 NOTE: immediately after opening the configuration file we change the working
3764 directory to "/"! Later we change to $spool_directory. We do it there, because
3765 during readconf_main() some expansion takes place already. */
3766
3767 /* Store the initial cwd before we change directories.  Can be NULL if the
3768 dir has already been unlinked. */
3769 initial_cwd = os_getcwd(NULL, 0);
3770
3771 /* checking:
3772     -be[m] expansion test        -
3773     -b[fF] filter test           new
3774     -bh[c] host test             -
3775     -bmalware malware_test_file  new
3776     -brt   retry test            new
3777     -brw   rewrite test          new
3778     -bt    address test          -
3779     -bv[s] address verify        -
3780    list_options:
3781     -bP <option> (except -bP config, which sets list_config)
3782
3783 If any of these options is set, we suppress warnings about configuration
3784 issues (currently about tls_advertise_hosts and keep_environment not being
3785 defined) */
3786
3787   {
3788 #ifdef MEASURE_TIMING
3789   struct timeval t0, diff;
3790   (void)gettimeofday(&t0, NULL);
3791 #endif
3792
3793   readconf_main(checking || list_options);
3794
3795 #ifdef MEASURE_TIMING
3796   report_time_since(&t0, US"readconf_main (delta)");
3797 #endif
3798   }
3799
3800
3801 /* Now in directory "/" */
3802
3803 if (cleanup_environment() == FALSE)
3804   log_write(0, LOG_PANIC_DIE, "Can't cleanup environment");
3805
3806
3807 /* If an action on specific messages is requested, or if a daemon or queue
3808 runner is being started, we need to know if Exim was called by an admin user.
3809 This is the case if the real user is root or exim, or if the real group is
3810 exim, or if one of the supplementary groups is exim or a group listed in
3811 admin_groups. We don't fail all message actions immediately if not admin_user,
3812 since some actions can be performed by non-admin users. Instead, set admin_user
3813 for later interrogation. */
3814
3815 if (real_uid == root_uid || real_uid == exim_uid || real_gid == exim_gid)
3816   f.admin_user = TRUE;
3817 else
3818   for (int i = 0; i < group_count && !f.admin_user; i++)
3819     if (group_list[i] == exim_gid)
3820       f.admin_user = TRUE;
3821     else if (admin_groups)
3822       for (int j = 1; j <= (int)admin_groups[0] && !f.admin_user; j++)
3823         if (admin_groups[j] == group_list[i])
3824           f.admin_user = TRUE;
3825
3826 /* Another group of privileged users are the trusted users. These are root,
3827 exim, and any caller matching trusted_users or trusted_groups. Trusted callers
3828 are permitted to specify sender_addresses with -f on the command line, and
3829 other message parameters as well. */
3830
3831 if (real_uid == root_uid || real_uid == exim_uid)
3832   f.trusted_caller = TRUE;
3833 else
3834   {
3835   if (trusted_users)
3836     for (int i = 1; i <= (int)trusted_users[0] && !f.trusted_caller; i++)
3837       if (trusted_users[i] == real_uid)
3838         f.trusted_caller = TRUE;
3839
3840   if (trusted_groups)
3841     for (int i = 1; i <= (int)trusted_groups[0] && !f.trusted_caller; i++)
3842       if (trusted_groups[i] == real_gid)
3843         f.trusted_caller = TRUE;
3844       else for (int j = 0; j < group_count && !f.trusted_caller; j++)
3845         if (trusted_groups[i] == group_list[j])
3846           f.trusted_caller = TRUE;
3847   }
3848
3849 /* At this point, we know if the user is privileged and some command-line
3850 options become possibly impermissible, depending upon the configuration file. */
3851
3852 if (checking && commandline_checks_require_admin && !f.admin_user)
3853   exim_fail("exim: those command-line flags are set to require admin\n");
3854
3855 /* Handle the decoding of logging options. */
3856
3857 decode_bits(log_selector, log_selector_size, log_notall,
3858   log_selector_string, log_options, log_options_count, US"log", 0);
3859
3860 DEBUG(D_any)
3861   {
3862   debug_printf("configuration file is %s\n", config_main_filename);
3863   debug_printf("log selectors =");
3864   for (int i = 0; i < log_selector_size; i++)
3865     debug_printf(" %08x", log_selector[i]);
3866   debug_printf("\n");
3867   }
3868
3869 /* If domain literals are not allowed, check the sender address that was
3870 supplied with -f. Ditto for a stripped trailing dot. */
3871
3872 if (sender_address)
3873   {
3874   if (sender_address[sender_address_domain] == '[' && !allow_domain_literals)
3875     exim_fail("exim: bad -f address \"%s\": domain literals not "
3876       "allowed\n", sender_address);
3877   if (f_end_dot && !strip_trailing_dot)
3878     exim_fail("exim: bad -f address \"%s.\": domain is malformed "
3879       "(trailing dot not allowed)\n", sender_address);
3880   }
3881
3882 /* See if an admin user overrode our logging. */
3883
3884 if (cmdline_syslog_name)
3885   if (f.admin_user)
3886     {
3887     syslog_processname = cmdline_syslog_name;
3888     log_file_path = string_copy(CUS"syslog");
3889     }
3890   else
3891     /* not a panic, non-privileged users should not be able to spam paniclog */
3892     exim_fail(
3893         "exim: you lack sufficient privilege to specify syslog process name\n");
3894
3895 /* Paranoia check of maximum lengths of certain strings. There is a check
3896 on the length of the log file path in log.c, which will come into effect
3897 if there are any calls to write the log earlier than this. However, if we
3898 get this far but the string is very long, it is better to stop now than to
3899 carry on and (e.g.) receive a message and then have to collapse. The call to
3900 log_write() from here will cause the ultimate panic collapse if the complete
3901 file name exceeds the buffer length. */
3902
3903 if (Ustrlen(log_file_path) > 200)
3904   log_write(0, LOG_MAIN|LOG_PANIC_DIE,
3905     "log_file_path is longer than 200 chars: aborting");
3906
3907 if (Ustrlen(pid_file_path) > 200)
3908   log_write(0, LOG_MAIN|LOG_PANIC_DIE,
3909     "pid_file_path is longer than 200 chars: aborting");
3910
3911 if (Ustrlen(spool_directory) > 200)
3912   log_write(0, LOG_MAIN|LOG_PANIC_DIE,
3913     "spool_directory is longer than 200 chars: aborting");
3914
3915 /* Length check on the process name given to syslog for its TAG field,
3916 which is only permitted to be 32 characters or less. See RFC 3164. */
3917
3918 if (Ustrlen(syslog_processname) > 32)
3919   log_write(0, LOG_MAIN|LOG_PANIC_DIE,
3920     "syslog_processname is longer than 32 chars: aborting");
3921
3922 if (log_oneline)
3923   if (f.admin_user)
3924     {
3925     log_write(0, LOG_MAIN, "%s", log_oneline);
3926     return EXIT_SUCCESS;
3927     }
3928   else
3929     return EXIT_FAILURE;
3930
3931 /* In some operating systems, the environment variable TMPDIR controls where
3932 temporary files are created; Exim doesn't use these (apart from when delivering
3933 to MBX mailboxes), but called libraries such as DBM libraries may require them.
3934 If TMPDIR is found in the environment, reset it to the value defined in the
3935 EXIM_TMPDIR macro, if this macro is defined.  For backward compatibility this
3936 macro may be called TMPDIR in old "Local/Makefile"s. It's converted to
3937 EXIM_TMPDIR by the build scripts.
3938 */
3939
3940 #ifdef EXIM_TMPDIR
3941   if (environ) for (uschar ** p = USS environ; *p; p++)
3942     if (Ustrncmp(*p, "TMPDIR=", 7) == 0 && Ustrcmp(*p+7, EXIM_TMPDIR) != 0)
3943       {
3944       uschar * newp = store_malloc(Ustrlen(EXIM_TMPDIR) + 8);
3945       sprintf(CS newp, "TMPDIR=%s", EXIM_TMPDIR);
3946       *p = newp;
3947       DEBUG(D_any) debug_printf("reset TMPDIR=%s in environment\n", EXIM_TMPDIR);
3948       }
3949 #endif
3950
3951 /* Timezone handling. If timezone_string is "utc", set a flag to cause all
3952 timestamps to be in UTC (gmtime() is used instead of localtime()). Otherwise,
3953 we may need to get rid of a bogus timezone setting. This can arise when Exim is
3954 called by a user who has set the TZ variable. This then affects the timestamps
3955 in log files and in Received: headers, and any created Date: header lines. The
3956 required timezone is settable in the configuration file, so nothing can be done
3957 about this earlier - but hopefully nothing will normally be logged earlier than
3958 this. We have to make a new environment if TZ is wrong, but don't bother if
3959 timestamps_utc is set, because then all times are in UTC anyway. */
3960
3961 if (timezone_string && strcmpic(timezone_string, US"UTC") == 0)
3962   f.timestamps_utc = TRUE;
3963 else
3964   {
3965   uschar *envtz = US getenv("TZ");
3966   if (envtz
3967       ? !timezone_string || Ustrcmp(timezone_string, envtz) != 0
3968       : timezone_string != NULL
3969      )
3970     {
3971     uschar **p = USS environ;
3972     uschar **new;
3973     uschar **newp;
3974     int count = 0;
3975     if (environ) while (*p++) count++;
3976     if (!envtz) count++;
3977     newp = new = store_malloc(sizeof(uschar *) * (count + 1));
3978     if (environ) for (p = USS environ; *p; p++)
3979       if (Ustrncmp(*p, "TZ=", 3) != 0) *newp++ = *p;
3980     if (timezone_string)
3981       {
3982       *newp = store_malloc(Ustrlen(timezone_string) + 4);
3983       sprintf(CS *newp++, "TZ=%s", timezone_string);
3984       }
3985     *newp = NULL;
3986     environ = CSS new;
3987     tzset();
3988     DEBUG(D_any) debug_printf("Reset TZ to %s: time is %s\n", timezone_string,
3989       tod_stamp(tod_log));
3990     }
3991   }
3992
3993 /* Handle the case when we have removed the setuid privilege because of -C or
3994 -D. This means that the caller of Exim was not root.
3995
3996 There is a problem if we were running as the Exim user. The sysadmin may
3997 expect this case to retain privilege because "the binary was called by the
3998 Exim user", but it hasn't, because either the -D option set macros, or the
3999 -C option set a non-trusted configuration file. There are two possibilities:
4000
4001   (1) If deliver_drop_privilege is set, Exim is not going to re-exec in order
4002       to do message deliveries. Thus, the fact that it is running as a
4003       non-privileged user is plausible, and might be wanted in some special
4004       configurations. However, really_exim will have been set false when
4005       privilege was dropped, to stop Exim trying to write to its normal log
4006       files. Therefore, re-enable normal log processing, assuming the sysadmin
4007       has set up the log directory correctly.
4008
4009   (2) If deliver_drop_privilege is not set, the configuration won't work as
4010       apparently intended, and so we log a panic message. In order to retain
4011       root for -C or -D, the caller must either be root or be invoking a
4012       trusted configuration file (when deliver_drop_privilege is false). */
4013
4014 if (  removed_privilege
4015    && (!f.trusted_config || opt_D_used)
4016    && real_uid == exim_uid)
4017   if (deliver_drop_privilege)
4018     f.really_exim = TRUE; /* let logging work normally */
4019   else
4020     log_write(0, LOG_MAIN|LOG_PANIC,
4021       "exim user lost privilege for using %s option",
4022       f.trusted_config? "-D" : "-C");
4023
4024 /* Start up Perl interpreter if Perl support is configured and there is a
4025 perl_startup option, and the configuration or the command line specifies
4026 initializing starting. Note that the global variables are actually called
4027 opt_perl_xxx to avoid clashing with perl's namespace (perl_*). */
4028
4029 #ifdef EXIM_PERL
4030 if (perl_start_option != 0)
4031   opt_perl_at_start = (perl_start_option > 0);
4032 if (opt_perl_at_start && opt_perl_startup != NULL)
4033   {
4034   uschar *errstr;
4035   DEBUG(D_any) debug_printf("Starting Perl interpreter\n");
4036   if ((errstr = init_perl(opt_perl_startup)))
4037     exim_fail("exim: error in perl_startup code: %s\n", errstr);
4038   opt_perl_started = TRUE;
4039   }
4040 #endif /* EXIM_PERL */
4041
4042 /* Log the arguments of the call if the configuration file said so. This is
4043 a debugging feature for finding out what arguments certain MUAs actually use.
4044 Don't attempt it if logging is disabled, or if listing variables or if
4045 verifying/testing addresses or expansions. */
4046
4047 if (  (debug_selector & D_any  ||  LOGGING(arguments))
4048    && f.really_exim && !list_options && !checking)
4049   {
4050   uschar *p = big_buffer;
4051   Ustrcpy(p, US"cwd= (failed)");
4052
4053   if (!initial_cwd)
4054     p += 13;
4055   else
4056     {
4057     Ustrncpy(p + 4, initial_cwd, big_buffer_size-5);
4058     p += 4 + Ustrlen(initial_cwd);
4059     /* in case p is near the end and we don't provide enough space for
4060      * string_format to be willing to write. */
4061     *p = '\0';
4062     }
4063
4064   (void)string_format(p, big_buffer_size - (p - big_buffer), " %d args:", argc);
4065   while (*p) p++;
4066   for (int i = 0; i < argc; i++)
4067     {
4068     int len = Ustrlen(argv[i]);
4069     const uschar *printing;
4070     uschar *quote;
4071     if (p + len + 8 >= big_buffer + big_buffer_size)
4072       {
4073       Ustrcpy(p, US" ...");
4074       log_write(0, LOG_MAIN, "%s", big_buffer);
4075       Ustrcpy(big_buffer, US"...");
4076       p = big_buffer + 3;
4077       }
4078     printing = string_printing(argv[i]);
4079     if (!*printing) quote = US"\"";
4080     else
4081       {
4082       const uschar *pp = printing;
4083       quote = US"";
4084       while (*pp) if (isspace(*pp++)) { quote = US"\""; break; }
4085       }
4086     p += sprintf(CS p, " %s%.*s%s", quote, (int)(big_buffer_size -
4087       (p - big_buffer) - 4), printing, quote);
4088     }
4089
4090   if (LOGGING(arguments))
4091     log_write(0, LOG_MAIN, "%s", big_buffer);
4092   else
4093     debug_printf("%s\n", big_buffer);
4094   }
4095
4096 /* Set the working directory to be the top-level spool directory. We don't rely
4097 on this in the code, which always uses fully qualified names, but it's useful
4098 for core dumps etc. Don't complain if it fails - the spool directory might not
4099 be generally accessible and calls with the -C option (and others) have lost
4100 privilege by now. Before the chdir, we try to ensure that the directory exists.
4101 */
4102
4103 if (Uchdir(spool_directory) != 0)
4104   {
4105   int dummy;
4106   (void)directory_make(spool_directory, US"", SPOOL_DIRECTORY_MODE, FALSE);
4107   dummy = /* quieten compiler */ Uchdir(spool_directory);
4108   dummy = dummy;        /* yet more compiler quietening, sigh */
4109   }
4110
4111 /* Handle calls with the -bi option. This is a sendmail option to rebuild *the*
4112 alias file. Exim doesn't have such a concept, but this call is screwed into
4113 Sun's YP makefiles. Handle this by calling a configured script, as the real
4114 user who called Exim. The -oA option can be used to pass an argument to the
4115 script. */
4116
4117 if (bi_option)
4118   {
4119   (void)fclose(config_file);
4120   if (bi_command)
4121     {
4122     int i = 0;
4123     uschar *argv[3];
4124     argv[i++] = bi_command;
4125     if (alias_arg) argv[i++] = alias_arg;
4126     argv[i++] = NULL;
4127
4128     setgroups(group_count, group_list);
4129     exim_setugid(real_uid, real_gid, FALSE, US"running bi_command");
4130
4131     DEBUG(D_exec) debug_printf("exec %.256s %.256s\n", argv[0],
4132       argv[1] ? argv[1] : US"");
4133
4134     execv(CS argv[0], (char *const *)argv);
4135     exim_fail("exim: exec failed: %s\n", strerror(errno));
4136     }
4137   else
4138     {
4139     DEBUG(D_any) debug_printf("-bi used but bi_command not set; exiting\n");
4140     exit(EXIT_SUCCESS);
4141     }
4142   }
4143
4144 /* We moved the admin/trusted check to be immediately after reading the
4145 configuration file.  We leave these prints here to ensure that syslog setup,
4146 logfile setup, and so on has already happened. */
4147
4148 if (f.trusted_caller) DEBUG(D_any) debug_printf("trusted user\n");
4149 if (f.admin_user) DEBUG(D_any) debug_printf("admin user\n");
4150
4151 /* Only an admin user may start the daemon or force a queue run in the default
4152 configuration, but the queue run restriction can be relaxed. Only an admin
4153 user may request that a message be returned to its sender forthwith. Only an
4154 admin user may specify a debug level greater than D_v (because it might show
4155 passwords, etc. in lookup queries). Only an admin user may request a queue
4156 count. Only an admin user can use the test interface to scan for email
4157 (because Exim will be in the spool dir and able to look at mails). */
4158
4159 if (!f.admin_user)
4160   {
4161   BOOL debugset = (debug_selector & ~D_v) != 0;
4162   if (  deliver_give_up || f.daemon_listen || malware_test_file
4163      || count_queue && queue_list_requires_admin
4164      || list_queue && queue_list_requires_admin
4165      || queue_interval >= 0 && prod_requires_admin
4166      || queue_name_dest && prod_requires_admin
4167      || debugset && !f.running_in_test_harness
4168      )
4169     exim_fail("exim:%s permission denied\n", debugset ? " debugging" : "");
4170   }
4171
4172 /* If the real user is not root or the exim uid, the argument for passing
4173 in an open TCP/IP connection for another message is not permitted, nor is
4174 running with the -N option for any delivery action, unless this call to exim is
4175 one that supplied an input message, or we are using a patched exim for
4176 regression testing. */
4177
4178 if (  real_uid != root_uid && real_uid != exim_uid
4179    && (  continue_hostname
4180       || (  f.dont_deliver
4181          && (queue_interval >= 0 || f.daemon_listen || msg_action_arg > 0)
4182       )  )
4183    && !f.running_in_test_harness
4184    )
4185   exim_fail("exim: Permission denied\n");
4186
4187 /* If the caller is not trusted, certain arguments are ignored when running for
4188 real, but are permitted when checking things (-be, -bv, -bt, -bh, -bf, -bF).
4189 Note that authority for performing certain actions on messages is tested in the
4190 queue_action() function. */
4191
4192 if (!f.trusted_caller && !checking)
4193   {
4194   sender_host_name = sender_host_address = interface_address =
4195     sender_ident = received_protocol = NULL;
4196   sender_host_port = interface_port = 0;
4197   sender_host_authenticated = authenticated_sender = authenticated_id = NULL;
4198   }
4199
4200 /* If a sender host address is set, extract the optional port number off the
4201 end of it and check its syntax. Do the same thing for the interface address.
4202 Exim exits if the syntax is bad. */
4203
4204 else
4205   {
4206   if (sender_host_address)
4207     sender_host_port = check_port(sender_host_address);
4208   if (interface_address)
4209     interface_port = check_port(interface_address);
4210   }
4211
4212 /* If the caller is trusted, then they can use -G to suppress_local_fixups. */
4213 if (flag_G)
4214   {
4215   if (f.trusted_caller)
4216     {
4217     f.suppress_local_fixups = f.suppress_local_fixups_default = TRUE;
4218     DEBUG(D_acl) debug_printf("suppress_local_fixups forced on by -G\n");
4219     }
4220   else
4221     exim_fail("exim: permission denied (-G requires a trusted user)\n");
4222   }
4223
4224 /* If an SMTP message is being received check to see if the standard input is a
4225 TCP/IP socket. If it is, we assume that Exim was called from inetd if the
4226 caller is root or the Exim user, or if the port is a privileged one. Otherwise,
4227 barf. */
4228
4229 if (smtp_input)
4230   {
4231   union sockaddr_46 inetd_sock;
4232   EXIM_SOCKLEN_T size = sizeof(inetd_sock);
4233   if (getpeername(0, (struct sockaddr *)(&inetd_sock), &size) == 0)
4234     {
4235     int family = ((struct sockaddr *)(&inetd_sock))->sa_family;
4236     if (family == AF_INET || family == AF_INET6)
4237       {
4238       union sockaddr_46 interface_sock;
4239       size = sizeof(interface_sock);
4240
4241       if (getsockname(0, (struct sockaddr *)(&interface_sock), &size) == 0)
4242         interface_address = host_ntoa(-1, &interface_sock, NULL,
4243           &interface_port);
4244
4245       if (host_is_tls_on_connect_port(interface_port)) tls_in.on_connect = TRUE;
4246
4247       if (real_uid == root_uid || real_uid == exim_uid || interface_port < 1024)
4248         {
4249         f.is_inetd = TRUE;
4250         sender_host_address = host_ntoa(-1, (struct sockaddr *)(&inetd_sock),
4251           NULL, &sender_host_port);
4252         if (mua_wrapper) log_write(0, LOG_MAIN|LOG_PANIC_DIE, "Input from "
4253           "inetd is not supported when mua_wrapper is set");
4254         }
4255       else
4256         exim_fail(
4257           "exim: Permission denied (unprivileged user, unprivileged port)\n");
4258       }
4259     }
4260   }
4261
4262 /* If the load average is going to be needed while receiving a message, get it
4263 now for those OS that require the first call to os_getloadavg() to be done as
4264 root. There will be further calls later for each message received. */
4265
4266 #ifdef LOAD_AVG_NEEDS_ROOT
4267 if (  receiving_message
4268    && (queue_only_load >= 0 || (f.is_inetd && smtp_load_reserve >= 0)))
4269   load_average = OS_GETLOADAVG();
4270 #endif
4271
4272 /* The queue_only configuration option can be overridden by -odx on the command
4273 line, except that if queue_only_override is false, queue_only cannot be unset
4274 from the command line. */
4275
4276 if (queue_only_set && (queue_only_override || arg_queue_only))
4277   queue_only = arg_queue_only;
4278
4279 /* The receive_timeout and smtp_receive_timeout options can be overridden by
4280 -or and -os. */
4281
4282 if (arg_receive_timeout >= 0) receive_timeout = arg_receive_timeout;
4283 if (arg_smtp_receive_timeout >= 0)
4284   smtp_receive_timeout = arg_smtp_receive_timeout;
4285
4286 /* If Exim was started with root privilege, unless we have already removed the
4287 root privilege above as a result of -C, -D, -be, -bf or -bF, remove it now
4288 except when starting the daemon or doing some kind of delivery or address
4289 testing (-bt). These are the only cases when root need to be retained. We run
4290 as exim for -bv and -bh. However, if deliver_drop_privilege is set, root is
4291 retained only for starting the daemon. We always do the initgroups() in this
4292 situation (controlled by the TRUE below), in order to be as close as possible
4293 to the state Exim usually runs in. */
4294
4295 if (  !unprivileged                             /* originally had root AND */
4296    && !removed_privilege                        /* still got root AND      */
4297    && !f.daemon_listen                          /* not starting the daemon */
4298    && queue_interval <= 0                       /* (either kind of daemon) */
4299    && (                                         /*    AND EITHER           */
4300          deliver_drop_privilege                 /* requested unprivileged  */
4301       || (                                      /*       OR                */
4302             queue_interval < 0                  /* not running the queue   */
4303          && (  msg_action_arg < 0               /*       and               */
4304             || msg_action != MSG_DELIVER        /* not delivering          */
4305             )                                   /*       and               */
4306          && (!checking || !f.address_test_mode) /* not address checking    */
4307          && !rcpt_verify_quota                  /* and not quota checking  */
4308    )  )  )
4309   exim_setugid(exim_uid, exim_gid, TRUE, US"privilege not needed");
4310
4311 /* When we are retaining a privileged uid, we still change to the exim gid. */
4312
4313 else
4314   {
4315   int rv;
4316   DEBUG(D_any) debug_printf("dropping to exim gid; retaining priv uid\n");
4317   rv = setgid(exim_gid);
4318   /* Impact of failure is that some stuff might end up with an incorrect group.
4319   We track this for failures from root, since any attempt to change privilege
4320   by root should succeed and failures should be examined.  For non-root,
4321   there's no security risk.  For me, it's { exim -bV } on a just-built binary,
4322   no need to complain then. */
4323   if (rv == -1)
4324     if (!(unprivileged || removed_privilege))
4325       exim_fail("exim: changing group failed: %s\n", strerror(errno));
4326     else
4327       DEBUG(D_any) debug_printf("changing group to %ld failed: %s\n",
4328           (long int)exim_gid, strerror(errno));
4329   }
4330
4331 /* Handle a request to scan a file for malware */
4332 if (malware_test_file)
4333   {
4334 #ifdef WITH_CONTENT_SCAN
4335   int result;
4336   set_process_info("scanning file for malware");
4337   if ((result = malware_in_file(malware_test_file)) == FAIL)
4338     {
4339     printf("No malware found.\n");
4340     exit(EXIT_SUCCESS);
4341     }
4342   if (result != OK)
4343     {
4344     printf("Malware lookup returned non-okay/fail: %d\n", result);
4345     exit(EXIT_FAILURE);
4346     }
4347   if (malware_name)
4348     printf("Malware found: %s\n", malware_name);
4349   else
4350     printf("Malware scan detected malware of unknown name.\n");
4351 #else
4352   printf("Malware scanning not enabled at compile time.\n");
4353 #endif
4354   exit(EXIT_FAILURE);
4355   }
4356
4357 /* Handle a request to list the delivery queue */
4358
4359 if (list_queue)
4360   {
4361   set_process_info("listing the queue");
4362   queue_list(list_queue_option, argv + recipients_arg, argc - recipients_arg);
4363   exit(EXIT_SUCCESS);
4364   }
4365
4366 /* Handle a request to count the delivery queue */
4367
4368 if (count_queue)
4369   {
4370   set_process_info("counting the queue");
4371   fprintf(stdout, "%u\n", queue_count());
4372   exit(EXIT_SUCCESS);
4373   }
4374
4375 /* Handle actions on specific messages, except for the force delivery and
4376 message load actions, which are done below. Some actions take a whole list of
4377 message ids, which are known to continue up to the end of the arguments. Others
4378 take a single message id and then operate on the recipients list. */
4379
4380 if (msg_action_arg > 0 && msg_action != MSG_DELIVER && msg_action != MSG_LOAD)
4381   {
4382   int yield = EXIT_SUCCESS;
4383   set_process_info("acting on specified messages");
4384
4385   /* ACL definitions may be needed when removing a message (-Mrm) because
4386   event_action gets expanded */
4387
4388   if (msg_action == MSG_REMOVE)
4389     readconf_rest();
4390
4391   if (!one_msg_action)
4392     {
4393     for (i = msg_action_arg; i < argc; i++)
4394       if (!queue_action(argv[i], msg_action, NULL, 0, 0))
4395         yield = EXIT_FAILURE;
4396     switch (msg_action)
4397       {
4398       case MSG_REMOVE: case MSG_FREEZE: case MSG_THAW: break;
4399       default: printf("\n"); break;
4400       }
4401     }
4402
4403   else if (!queue_action(argv[msg_action_arg], msg_action, argv, argc,
4404     recipients_arg)) yield = EXIT_FAILURE;
4405   exit(yield);
4406   }
4407
4408 /* We used to set up here to skip reading the ACL section, on
4409  (msg_action_arg > 0 || (queue_interval == 0 && !f.daemon_listen)
4410 Now, since the intro of the ${acl } expansion, ACL definitions may be
4411 needed in transports so we lost the optimisation. */
4412
4413   {
4414 #ifdef MEASURE_TIMING
4415   struct timeval t0, diff;
4416   (void)gettimeofday(&t0, NULL);
4417 #endif
4418
4419   readconf_rest();
4420
4421 #ifdef MEASURE_TIMING
4422   report_time_since(&t0, US"readconf_rest (delta)");
4423 #endif
4424   }
4425
4426 /* Handle a request to check quota */
4427 if (rcpt_verify_quota)
4428   if (real_uid != root_uid && real_uid != exim_uid)
4429     exim_fail("exim: Permission denied\n");
4430   else if (recipients_arg >= argc)
4431     exim_fail("exim: missing recipient for quota check\n");
4432   else
4433     {
4434     verify_quota(argv[recipients_arg]);
4435     exim_exit(EXIT_SUCCESS);
4436     }
4437
4438 /* Handle the -brt option. This is for checking out retry configurations.
4439 The next three arguments are a domain name or a complete address, and
4440 optionally two error numbers. All it does is to call the function that
4441 scans the retry configuration data. */
4442
4443 if (test_retry_arg >= 0)
4444   {
4445   retry_config *yield;
4446   int basic_errno = 0;
4447   int more_errno = 0;
4448   uschar *s1, *s2;
4449
4450   if (test_retry_arg >= argc)
4451     {
4452     printf("-brt needs a domain or address argument\n");
4453     exim_exit(EXIT_FAILURE);
4454     }
4455   s1 = argv[test_retry_arg++];
4456   s2 = NULL;
4457
4458   /* If the first argument contains no @ and no . it might be a local user
4459   or it might be a single-component name. Treat as a domain. */
4460
4461   if (Ustrchr(s1, '@') == NULL && Ustrchr(s1, '.') == NULL)
4462     {
4463     printf("Warning: \"%s\" contains no '@' and no '.' characters. It is "
4464       "being \ntreated as a one-component domain, not as a local part.\n\n",
4465       s1);
4466     }
4467
4468   /* There may be an optional second domain arg. */
4469
4470   if (test_retry_arg < argc && Ustrchr(argv[test_retry_arg], '.') != NULL)
4471     s2 = argv[test_retry_arg++];
4472
4473   /* The final arg is an error name */
4474
4475   if (test_retry_arg < argc)
4476     {
4477     uschar *ss = argv[test_retry_arg];
4478     uschar *error =
4479       readconf_retry_error(ss, ss + Ustrlen(ss), &basic_errno, &more_errno);
4480     if (error != NULL)
4481       {
4482       printf("%s\n", CS error);
4483       return EXIT_FAILURE;
4484       }
4485
4486     /* For the {MAIL,RCPT,DATA}_4xx errors, a value of 255 means "any", and a
4487     code > 100 as an error is for matching codes to the decade. Turn them into
4488     a real error code, off the decade. */
4489
4490     if (basic_errno == ERRNO_MAIL4XX ||
4491         basic_errno == ERRNO_RCPT4XX ||
4492         basic_errno == ERRNO_DATA4XX)
4493       {
4494       int code = (more_errno >> 8) & 255;
4495       if (code == 255)
4496         more_errno = (more_errno & 0xffff00ff) | (21 << 8);
4497       else if (code > 100)
4498         more_errno = (more_errno & 0xffff00ff) | ((code - 96) << 8);
4499       }
4500     }
4501
4502   if (!(yield = retry_find_config(s1, s2, basic_errno, more_errno)))
4503     printf("No retry information found\n");
4504   else
4505     {
4506     more_errno = yield->more_errno;
4507     printf("Retry rule: %s  ", yield->pattern);
4508
4509     if (yield->basic_errno == ERRNO_EXIMQUOTA)
4510       {
4511       printf("quota%s%s  ",
4512         (more_errno > 0)? "_" : "",
4513         (more_errno > 0)? readconf_printtime(more_errno) : US"");
4514       }
4515     else if (yield->basic_errno == ECONNREFUSED)
4516       {
4517       printf("refused%s%s  ",
4518         (more_errno > 0)? "_" : "",
4519         (more_errno == 'M')? "MX" :
4520         (more_errno == 'A')? "A" : "");
4521       }
4522     else if (yield->basic_errno == ETIMEDOUT)
4523       {
4524       printf("timeout");
4525       if ((more_errno & RTEF_CTOUT) != 0) printf("_connect");
4526       more_errno &= 255;
4527       if (more_errno != 0) printf("_%s",
4528         (more_errno == 'M')? "MX" : "A");
4529       printf("  ");
4530       }
4531     else if (yield->basic_errno == ERRNO_AUTHFAIL)
4532       printf("auth_failed  ");
4533     else printf("*  ");
4534
4535     for (retry_rule * r = yield->rules; r; r = r->next)
4536       {
4537       printf("%c,%s", r->rule, readconf_printtime(r->timeout)); /* Do not */
4538       printf(",%s", readconf_printtime(r->p1));                 /* amalgamate */
4539       if (r->rule == 'G')
4540         {
4541         int x = r->p2;
4542         int f = x % 1000;
4543         int d = 100;
4544         printf(",%d.", x/1000);
4545         do
4546           {
4547           printf("%d", f/d);
4548           f %= d;
4549           d /= 10;
4550           }
4551         while (f != 0);
4552         }
4553       printf("; ");
4554       }
4555
4556     printf("\n");
4557     }
4558   exim_exit(EXIT_SUCCESS);
4559   }
4560
4561 /* Handle a request to list one or more configuration options */
4562 /* If -n was set, we suppress some information */
4563
4564 if (list_options)
4565   {
4566   BOOL fail = FALSE;
4567   set_process_info("listing variables");
4568   if (recipients_arg >= argc)
4569     fail = !readconf_print(US"all", NULL, flag_n);
4570   else for (i = recipients_arg; i < argc; i++)
4571     {
4572     if (i < argc - 1 &&
4573         (Ustrcmp(argv[i], "router") == 0 ||
4574          Ustrcmp(argv[i], "transport") == 0 ||
4575          Ustrcmp(argv[i], "authenticator") == 0 ||
4576          Ustrcmp(argv[i], "macro") == 0 ||
4577          Ustrcmp(argv[i], "environment") == 0))
4578       {
4579       fail |= !readconf_print(argv[i+1], argv[i], flag_n);
4580       i++;
4581       }
4582     else
4583       fail = !readconf_print(argv[i], NULL, flag_n);
4584     }
4585   exim_exit(fail ? EXIT_FAILURE : EXIT_SUCCESS);
4586   }
4587
4588 if (list_config)
4589   {
4590   set_process_info("listing config");
4591   exim_exit(readconf_print(US"config", NULL, flag_n)
4592                 ? EXIT_SUCCESS : EXIT_FAILURE);
4593   }
4594
4595
4596 /* Initialise subsystems as required. */
4597
4598 tcp_init();
4599
4600 /* Handle a request to deliver one or more messages that are already on the
4601 queue. Values of msg_action other than MSG_DELIVER and MSG_LOAD are dealt with
4602 above. MSG_LOAD is handled with -be (which is the only time it applies) below.
4603
4604 Delivery of specific messages is typically used for a small number when
4605 prodding by hand (when the option forced_delivery will be set) or when
4606 re-execing to regain root privilege. Each message delivery must happen in a
4607 separate process, so we fork a process for each one, and run them sequentially
4608 so that debugging output doesn't get intertwined, and to avoid spawning too
4609 many processes if a long list is given. However, don't fork for the last one;
4610 this saves a process in the common case when Exim is called to deliver just one
4611 message. */
4612
4613 if (msg_action_arg > 0 && msg_action != MSG_LOAD)
4614   {
4615   if (prod_requires_admin && !f.admin_user)
4616     {
4617     fprintf(stderr, "exim: Permission denied\n");
4618     exim_exit(EXIT_FAILURE);
4619     }
4620   set_process_info("delivering specified messages");
4621   if (deliver_give_up) forced_delivery = f.deliver_force_thaw = TRUE;
4622   for (i = msg_action_arg; i < argc; i++)
4623     {
4624     int status;
4625     pid_t pid;
4626     /*XXX This use of argv[i] for msg_id should really be tainted, but doing
4627     that runs into a later copy into the untainted global message_id[] */
4628     if (i == argc - 1)
4629       (void)deliver_message(argv[i], forced_delivery, deliver_give_up);
4630     else if ((pid = exim_fork(US"cmdline-delivery")) == 0)
4631       {
4632       (void)deliver_message(argv[i], forced_delivery, deliver_give_up);
4633       exim_underbar_exit(EXIT_SUCCESS);
4634       }
4635     else if (pid < 0)
4636       {
4637       fprintf(stderr, "failed to fork delivery process for %s: %s\n", argv[i],
4638         strerror(errno));
4639       exim_exit(EXIT_FAILURE);
4640       }
4641     else wait(&status);
4642     }
4643   exim_exit(EXIT_SUCCESS);
4644   }
4645
4646
4647 /* If only a single queue run is requested, without SMTP listening, we can just
4648 turn into a queue runner, with an optional starting message id. */
4649
4650 if (queue_interval == 0 && !f.daemon_listen)
4651   {
4652   DEBUG(D_queue_run) debug_printf("Single queue run%s%s%s%s\n",
4653     start_queue_run_id ? US" starting at " : US"",
4654     start_queue_run_id ? start_queue_run_id: US"",
4655     stop_queue_run_id ?  US" stopping at " : US"",
4656     stop_queue_run_id ?  stop_queue_run_id : US"");
4657   if (*queue_name)
4658     set_process_info("running the '%s' queue (single queue run)", queue_name);
4659   else
4660     set_process_info("running the queue (single queue run)");
4661   queue_run(start_queue_run_id, stop_queue_run_id, FALSE);
4662   exim_exit(EXIT_SUCCESS);
4663   }
4664
4665
4666 /* Find the login name of the real user running this process. This is always
4667 needed when receiving a message, because it is written into the spool file. It
4668 may also be used to construct a from: or a sender: header, and in this case we
4669 need the user's full name as well, so save a copy of it, checked for RFC822
4670 syntax and munged if necessary, if it hasn't previously been set by the -F
4671 argument. We may try to get the passwd entry more than once, in case NIS or
4672 other delays are in evidence. Save the home directory for use in filter testing
4673 (only). */
4674
4675 for (i = 0;;)
4676   {
4677   if ((pw = getpwuid(real_uid)) != NULL)
4678     {
4679     originator_login = string_copy(US pw->pw_name);
4680     originator_home = string_copy(US pw->pw_dir);
4681
4682     /* If user name has not been set by -F, set it from the passwd entry
4683     unless -f has been used to set the sender address by a trusted user. */
4684
4685     if (!originator_name)
4686       {
4687       if (!sender_address || (!f.trusted_caller && filter_test == FTEST_NONE))
4688         {
4689         uschar *name = US pw->pw_gecos;
4690         uschar *amp = Ustrchr(name, '&');
4691         uschar buffer[256];
4692
4693         /* Most Unix specify that a '&' character in the gecos field is
4694         replaced by a copy of the login name, and some even specify that
4695         the first character should be upper cased, so that's what we do. */
4696
4697         if (amp)
4698           {
4699           int loffset;
4700           string_format(buffer, sizeof(buffer), "%.*s%n%s%s",
4701             (int)(amp - name), name, &loffset, originator_login, amp + 1);
4702           buffer[loffset] = toupper(buffer[loffset]);
4703           name = buffer;
4704           }
4705
4706         /* If a pattern for matching the gecos field was supplied, apply
4707         it and then expand the name string. */
4708
4709         if (gecos_pattern && gecos_name)
4710           {
4711           const pcre *re;
4712           re = regex_must_compile(gecos_pattern, FALSE, TRUE); /* Use malloc */
4713
4714           if (regex_match_and_setup(re, name, 0, -1))
4715             {
4716             uschar *new_name = expand_string(gecos_name);
4717             expand_nmax = -1;
4718             if (new_name)
4719               {
4720               DEBUG(D_receive) debug_printf("user name \"%s\" extracted from "
4721                 "gecos field \"%s\"\n", new_name, name);
4722               name = new_name;
4723               }
4724             else DEBUG(D_receive) debug_printf("failed to expand gecos_name string "
4725               "\"%s\": %s\n", gecos_name, expand_string_message);
4726             }
4727           else DEBUG(D_receive) debug_printf("gecos_pattern \"%s\" did not match "
4728             "gecos field \"%s\"\n", gecos_pattern, name);
4729           store_free((void *)re);
4730           }
4731         originator_name = string_copy(name);
4732         }
4733
4734       /* A trusted caller has used -f but not -F */
4735
4736       else originator_name = US"";
4737       }
4738
4739     /* Break the retry loop */
4740
4741     break;
4742     }
4743
4744   if (++i > finduser_retries) break;
4745   sleep(1);
4746   }
4747
4748 /* If we cannot get a user login, log the incident and give up, unless the
4749 configuration specifies something to use. When running in the test harness,
4750 any setting of unknown_login overrides the actual name. */
4751
4752 if (originator_login == NULL || f.running_in_test_harness)
4753   {
4754   if (unknown_login != NULL)
4755     {
4756     originator_login = expand_string(unknown_login);
4757     if (originator_name == NULL && unknown_username != NULL)
4758       originator_name = expand_string(unknown_username);
4759     if (originator_name == NULL) originator_name = US"";
4760     }
4761   if (originator_login == NULL)
4762     log_write(0, LOG_MAIN|LOG_PANIC_DIE, "Failed to get user name for uid %d",
4763       (int)real_uid);
4764   }
4765
4766 /* Ensure that the user name is in a suitable form for use as a "phrase" in an
4767 RFC822 address.*/
4768
4769 originator_name = string_copy(parse_fix_phrase(originator_name,
4770   Ustrlen(originator_name), big_buffer, big_buffer_size));
4771
4772 /* If a message is created by this call of Exim, the uid/gid of its originator
4773 are those of the caller. These values are overridden if an existing message is
4774 read in from the spool. */
4775
4776 originator_uid = real_uid;
4777 originator_gid = real_gid;
4778
4779 DEBUG(D_receive) debug_printf("originator: uid=%d gid=%d login=%s name=%s\n",
4780   (int)originator_uid, (int)originator_gid, originator_login, originator_name);
4781
4782 /* Run in daemon and/or queue-running mode. The function daemon_go() never
4783 returns. We leave this till here so that the originator_ fields are available
4784 for incoming messages via the daemon. The daemon cannot be run in mua_wrapper
4785 mode. */
4786
4787 if (f.daemon_listen || f.inetd_wait_mode || queue_interval > 0)
4788   {
4789   if (mua_wrapper)
4790     {
4791     fprintf(stderr, "Daemon cannot be run when mua_wrapper is set\n");
4792     log_write(0, LOG_MAIN|LOG_PANIC_DIE, "Daemon cannot be run when "
4793       "mua_wrapper is set");
4794     }
4795
4796 # ifndef DISABLE_TLS
4797   /* This also checks that the library linkage is working and we can call
4798   routines in it, so call even if tls_require_ciphers is unset */
4799     {
4800 # ifdef MEASURE_TIMING
4801     struct timeval t0, diff;
4802     (void)gettimeofday(&t0, NULL);
4803 # endif
4804     if (!tls_dropprivs_validate_require_cipher(FALSE))
4805       exit(1);
4806 # ifdef MEASURE_TIMING
4807     report_time_since(&t0, US"validate_ciphers (delta)");
4808 # endif
4809     }
4810 #endif
4811
4812   daemon_go();
4813   }
4814
4815 /* If the sender ident has not been set (by a trusted caller) set it to
4816 the caller. This will get overwritten below for an inetd call. If a trusted
4817 caller has set it empty, unset it. */
4818
4819 if (!sender_ident) sender_ident = originator_login;
4820 else if (!*sender_ident) sender_ident = NULL;
4821
4822 /* Handle the -brw option, which is for checking out rewriting rules. Cause log
4823 writes (on errors) to go to stderr instead. Can't do this earlier, as want the
4824 originator_* variables set. */
4825
4826 if (test_rewrite_arg >= 0)
4827   {
4828   f.really_exim = FALSE;
4829   if (test_rewrite_arg >= argc)
4830     {
4831     printf("-brw needs an address argument\n");
4832     exim_exit(EXIT_FAILURE);
4833     }
4834   rewrite_test(argv[test_rewrite_arg]);
4835   exim_exit(EXIT_SUCCESS);
4836   }
4837
4838 /* A locally-supplied message is considered to be coming from a local user
4839 unless a trusted caller supplies a sender address with -f, or is passing in the
4840 message via SMTP (inetd invocation or otherwise). */
4841
4842 if (  !sender_address && !smtp_input
4843    || !f.trusted_caller && filter_test == FTEST_NONE)
4844   {
4845   f.sender_local = TRUE;
4846
4847   /* A trusted caller can supply authenticated_sender and authenticated_id
4848   via -oMas and -oMai and if so, they will already be set. Otherwise, force
4849   defaults except when host checking. */
4850
4851   if (!authenticated_sender && !host_checking)
4852     authenticated_sender = string_sprintf("%s@%s", originator_login,
4853       qualify_domain_sender);
4854   if (!authenticated_id && !host_checking)
4855     authenticated_id = originator_login;
4856   }
4857
4858 /* Trusted callers are always permitted to specify the sender address.
4859 Untrusted callers may specify it if it matches untrusted_set_sender, or if what
4860 is specified is the empty address. However, if a trusted caller does not
4861 specify a sender address for SMTP input, we leave sender_address unset. This
4862 causes the MAIL commands to be honoured. */
4863
4864 if (  !smtp_input && !sender_address
4865    || !receive_check_set_sender(sender_address))
4866   {
4867   /* Either the caller is not permitted to set a general sender, or this is
4868   non-SMTP input and the trusted caller has not set a sender. If there is no
4869   sender, or if a sender other than <> is set, override with the originator's
4870   login (which will get qualified below), except when checking things. */
4871
4872   if (  !sender_address                  /* No sender_address set */
4873      ||                                  /*         OR            */
4874        (sender_address[0] != 0 &&        /* Non-empty sender address, AND */
4875        !checking))                       /* Not running tests, including filter tests */
4876     {
4877     sender_address = originator_login;
4878     f.sender_address_forced = FALSE;
4879     sender_address_domain = 0;
4880     }
4881   }
4882
4883 /* Remember whether an untrusted caller set the sender address */
4884
4885 f.sender_set_untrusted = sender_address != originator_login && !f.trusted_caller;
4886
4887 /* Ensure that the sender address is fully qualified unless it is the empty
4888 address, which indicates an error message, or doesn't exist (root caller, smtp
4889 interface, no -f argument). */
4890
4891 if (sender_address && *sender_address && sender_address_domain == 0)
4892   sender_address = string_sprintf("%s@%s", local_part_quote(sender_address),
4893     qualify_domain_sender);
4894
4895 DEBUG(D_receive) debug_printf("sender address = %s\n", sender_address);
4896
4897 /* Handle a request to verify a list of addresses, or test them for delivery.
4898 This must follow the setting of the sender address, since routers can be
4899 predicated upon the sender. If no arguments are given, read addresses from
4900 stdin. Set debug_level to at least D_v to get full output for address testing.
4901 */
4902
4903 if (verify_address_mode || f.address_test_mode)
4904   {
4905   int exit_value = 0;
4906   int flags = vopt_qualify;
4907
4908   if (verify_address_mode)
4909     {
4910     if (!verify_as_sender) flags |= vopt_is_recipient;
4911     DEBUG(D_verify) debug_print_ids(US"Verifying:");
4912     }
4913
4914   else
4915     {
4916     flags |= vopt_is_recipient;
4917     debug_selector |= D_v;
4918     debug_file = stderr;
4919     debug_fd = fileno(debug_file);
4920     DEBUG(D_verify) debug_print_ids(US"Address testing:");
4921     }
4922
4923   if (recipients_arg < argc)
4924     while (recipients_arg < argc)
4925       {
4926       /* Supplied addresses are tainted since they come from a user */
4927       uschar * s = string_copy_taint(argv[recipients_arg++], TRUE);
4928       while (*s)
4929         {
4930         BOOL finished = FALSE;
4931         uschar *ss = parse_find_address_end(s, FALSE);
4932         if (*ss == ',') *ss = 0; else finished = TRUE;
4933         test_address(s, flags, &exit_value);
4934         s = ss;
4935         if (!finished)
4936           while (*++s == ',' || isspace(*s)) ;
4937         }
4938       }
4939
4940   else for (;;)
4941     {
4942     uschar * s = get_stdinput(NULL, NULL);
4943     if (!s) break;
4944     test_address(string_copy_taint(s, TRUE), flags, &exit_value);
4945     }
4946
4947   route_tidyup();
4948   exim_exit(exit_value);
4949   }
4950
4951 /* Handle expansion checking. Either expand items on the command line, or read
4952 from stdin if there aren't any. If -Mset was specified, load the message so
4953 that its variables can be used, but restrict this facility to admin users.
4954 Otherwise, if -bem was used, read a message from stdin. */
4955
4956 if (expansion_test)
4957   {
4958   dns_init(FALSE, FALSE, FALSE);
4959   if (msg_action_arg > 0 && msg_action == MSG_LOAD)
4960     {
4961     uschar spoolname[256];  /* Not big_buffer; used in spool_read_header() */
4962     if (!f.admin_user)
4963       exim_fail("exim: permission denied\n");
4964     message_id = argv[msg_action_arg];
4965     (void)string_format(spoolname, sizeof(spoolname), "%s-H", message_id);
4966     if ((deliver_datafile = spool_open_datafile(message_id)) < 0)
4967       printf ("Failed to load message datafile %s\n", message_id);
4968     if (spool_read_header(spoolname, TRUE, FALSE) != spool_read_OK)
4969       printf ("Failed to load message %s\n", message_id);
4970     }
4971
4972   /* Read a test message from a file. We fudge it up to be on stdin, saving
4973   stdin itself for later reading of expansion strings. */
4974
4975   else if (expansion_test_message)
4976     {
4977     int save_stdin = dup(0);
4978     int fd = Uopen(expansion_test_message, O_RDONLY, 0);
4979     if (fd < 0)
4980       exim_fail("exim: failed to open %s: %s\n", expansion_test_message,
4981         strerror(errno));
4982     (void) dup2(fd, 0);
4983     filter_test = FTEST_USER;      /* Fudge to make it look like filter test */
4984     message_ended = END_NOTENDED;
4985     read_message_body(receive_msg(extract_recipients));
4986     message_linecount += body_linecount;
4987     (void)dup2(save_stdin, 0);
4988     (void)close(save_stdin);
4989     clearerr(stdin);               /* Required by Darwin */
4990     }
4991
4992   /* Only admin users may see config-file macros this way */
4993
4994   if (!f.admin_user) macros_user = macros = mlast = NULL;
4995
4996   /* Allow $recipients for this testing */
4997
4998   f.enable_dollar_recipients = TRUE;
4999
5000   /* Expand command line items */
5001
5002   if (recipients_arg < argc)
5003     while (recipients_arg < argc)
5004       expansion_test_line(argv[recipients_arg++]);
5005
5006   /* Read stdin */
5007
5008   else
5009     {
5010     char *(*fn_readline)(const char *) = NULL;
5011     void (*fn_addhist)(const char *) = NULL;
5012     uschar * s;
5013
5014 #ifdef USE_READLINE
5015     void *dlhandle = set_readline(&fn_readline, &fn_addhist);
5016 #endif
5017
5018     while (s = get_stdinput(fn_readline, fn_addhist))
5019       expansion_test_line(s);
5020
5021 #ifdef USE_READLINE
5022     if (dlhandle) dlclose(dlhandle);
5023 #endif
5024     }
5025
5026   /* The data file will be open after -Mset */
5027
5028   if (deliver_datafile >= 0)
5029     {
5030     (void)close(deliver_datafile);
5031     deliver_datafile = -1;
5032     }
5033
5034   exim_exit(EXIT_SUCCESS);
5035   }
5036
5037
5038 /* The active host name is normally the primary host name, but it can be varied
5039 for hosts that want to play several parts at once. We need to ensure that it is
5040 set for host checking, and for receiving messages. */
5041
5042 smtp_active_hostname = primary_hostname;
5043 if (raw_active_hostname != NULL)
5044   {
5045   uschar *nah = expand_string(raw_active_hostname);
5046   if (nah == NULL)
5047     {
5048     if (!f.expand_string_forcedfail)
5049       log_write(0, LOG_MAIN|LOG_PANIC_DIE, "failed to expand \"%s\" "
5050         "(smtp_active_hostname): %s", raw_active_hostname,
5051         expand_string_message);
5052     }
5053   else if (nah[0] != 0) smtp_active_hostname = nah;
5054   }
5055
5056 /* Handle host checking: this facility mocks up an incoming SMTP call from a
5057 given IP address so that the blocking and relay configuration can be tested.
5058 Unless a sender_ident was set by -oMt, we discard it (the default is the
5059 caller's login name). An RFC 1413 call is made only if we are running in the
5060 test harness and an incoming interface and both ports are specified, because
5061 there is no TCP/IP call to find the ident for. */
5062
5063 if (host_checking)
5064   {
5065   int x[4];
5066   int size;
5067
5068   if (!sender_ident_set)
5069     {
5070     sender_ident = NULL;
5071     if (f.running_in_test_harness && sender_host_port
5072        && interface_address && interface_port)
5073       verify_get_ident(1223);           /* note hardwired port number */
5074     }
5075
5076   /* In case the given address is a non-canonical IPv6 address, canonicalize
5077   it. The code works for both IPv4 and IPv6, as it happens. */
5078
5079   size = host_aton(sender_host_address, x);
5080   sender_host_address = store_get(48, FALSE);  /* large enough for full IPv6 */
5081   (void)host_nmtoa(size, x, -1, sender_host_address, ':');
5082
5083   /* Now set up for testing */
5084
5085   host_build_sender_fullhost();
5086   smtp_input = TRUE;
5087   smtp_in = stdin;
5088   smtp_out = stdout;
5089   f.sender_local = FALSE;
5090   f.sender_host_notsocket = TRUE;
5091   debug_file = stderr;
5092   debug_fd = fileno(debug_file);
5093   fprintf(stdout, "\n**** SMTP testing session as if from host %s\n"
5094     "**** but without any ident (RFC 1413) callback.\n"
5095     "**** This is not for real!\n\n",
5096       sender_host_address);
5097
5098   memset(sender_host_cache, 0, sizeof(sender_host_cache));
5099   if (verify_check_host(&hosts_connection_nolog) == OK)
5100     BIT_CLEAR(log_selector, log_selector_size, Li_smtp_connection);
5101   log_write(L_smtp_connection, LOG_MAIN, "%s", smtp_get_connection_info());
5102
5103   /* NOTE: We do *not* call smtp_log_no_mail() if smtp_start_session() fails,
5104   because a log line has already been written for all its failure exists
5105   (usually "connection refused: <reason>") and writing another one is
5106   unnecessary clutter. */
5107
5108   if (smtp_start_session())
5109     {
5110     rmark reset_point;
5111     for (; (reset_point = store_mark()); store_reset(reset_point))
5112       {
5113       if (smtp_setup_msg() <= 0) break;
5114       if (!receive_msg(FALSE)) break;
5115
5116       return_path = sender_address = NULL;
5117       dnslist_domain = dnslist_matched = NULL;
5118 #ifndef DISABLE_DKIM
5119       dkim_cur_signer = NULL;
5120 #endif
5121       acl_var_m = NULL;
5122       deliver_localpart_orig = NULL;
5123       deliver_domain_orig = NULL;
5124       callout_address = sending_ip_address = NULL;
5125       deliver_localpart_data = deliver_domain_data =
5126       recipient_data = sender_data = NULL;
5127       sender_rate = sender_rate_limit = sender_rate_period = NULL;
5128       }
5129     smtp_log_no_mail();
5130     }
5131   exim_exit(EXIT_SUCCESS);
5132   }
5133
5134
5135 /* Arrange for message reception if recipients or SMTP were specified;
5136 otherwise complain unless a version print (-bV) happened or this is a filter
5137 verification test or info dump.
5138 In the former case, show the configuration file name. */
5139
5140 if (recipients_arg >= argc && !extract_recipients && !smtp_input)
5141   {
5142   if (version_printed)
5143     {
5144     if (Ustrchr(config_main_filelist, ':'))
5145       printf("Configuration file search path is %s\n", config_main_filelist);
5146     printf("Configuration file is %s\n", config_main_filename);
5147     return EXIT_SUCCESS;
5148     }
5149
5150   if (info_flag != CMDINFO_NONE)
5151     {
5152     show_exim_information(info_flag, info_stdout ? stdout : stderr);
5153     return info_stdout ? EXIT_SUCCESS : EXIT_FAILURE;
5154     }
5155
5156   if (filter_test == FTEST_NONE)
5157     exim_usage(called_as);
5158   }
5159
5160
5161 /* If mua_wrapper is set, Exim is being used to turn an MUA that submits on the
5162 standard input into an MUA that submits to a smarthost over TCP/IP. We know
5163 that we are not called from inetd, because that is rejected above. The
5164 following configuration settings are forced here:
5165
5166   (1) Synchronous delivery (-odi)
5167   (2) Errors to stderr (-oep == -oeq)
5168   (3) No parallel remote delivery
5169   (4) Unprivileged delivery
5170
5171 We don't force overall queueing options because there are several of them;
5172 instead, queueing is avoided below when mua_wrapper is set. However, we do need
5173 to override any SMTP queueing. */
5174
5175 if (mua_wrapper)
5176   {
5177   f.synchronous_delivery = TRUE;
5178   arg_error_handling = ERRORS_STDERR;
5179   remote_max_parallel = 1;
5180   deliver_drop_privilege = TRUE;
5181   f.queue_smtp = FALSE;
5182   queue_smtp_domains = NULL;
5183 #ifdef SUPPORT_I18N
5184   message_utf8_downconvert = -1;        /* convert-if-needed */
5185 #endif
5186   }
5187
5188
5189 /* Prepare to accept one or more new messages on the standard input. When a
5190 message has been read, its id is returned in message_id[]. If doing immediate
5191 delivery, we fork a delivery process for each received message, except for the
5192 last one, where we can save a process switch.
5193
5194 It is only in non-smtp mode that error_handling is allowed to be changed from
5195 its default of ERRORS_SENDER by argument. (Idle thought: are any of the
5196 sendmail error modes other than -oem ever actually used? Later: yes.) */
5197
5198 if (!smtp_input) error_handling = arg_error_handling;
5199
5200 /* If this is an inetd call, ensure that stderr is closed to prevent panic
5201 logging being sent down the socket and make an identd call to get the
5202 sender_ident. */
5203
5204 else if (f.is_inetd)
5205   {
5206   (void)fclose(stderr);
5207   exim_nullstd();                       /* Re-open to /dev/null */
5208   verify_get_ident(IDENT_PORT);
5209   host_build_sender_fullhost();
5210   set_process_info("handling incoming connection from %s via inetd",
5211     sender_fullhost);
5212   }
5213
5214 /* If the sender host address has been set, build sender_fullhost if it hasn't
5215 already been done (which it will have been for inetd). This caters for the
5216 case when it is forced by -oMa. However, we must flag that it isn't a socket,
5217 so that the test for IP options is skipped for -bs input. */
5218
5219 if (sender_host_address && !sender_fullhost)
5220   {
5221   host_build_sender_fullhost();
5222   set_process_info("handling incoming connection from %s via -oMa",
5223     sender_fullhost);
5224   f.sender_host_notsocket = TRUE;
5225   }
5226
5227 /* Otherwise, set the sender host as unknown except for inetd calls. This
5228 prevents host checking in the case of -bs not from inetd and also for -bS. */
5229
5230 else if (!f.is_inetd) f.sender_host_unknown = TRUE;
5231
5232 /* If stdout does not exist, then dup stdin to stdout. This can happen
5233 if exim is started from inetd. In this case fd 0 will be set to the socket,
5234 but fd 1 will not be set. This also happens for passed SMTP channels. */
5235
5236 if (fstat(1, &statbuf) < 0) (void)dup2(0, 1);
5237
5238 /* Set up the incoming protocol name and the state of the program. Root is
5239 allowed to force received protocol via the -oMr option above. If we have come
5240 via inetd, the process info has already been set up. We don't set
5241 received_protocol here for smtp input, as it varies according to
5242 batch/HELO/EHLO/AUTH/TLS. */
5243
5244 if (smtp_input)
5245   {
5246   if (!f.is_inetd) set_process_info("accepting a local %sSMTP message from <%s>",
5247     smtp_batched_input? "batched " : "",
5248     (sender_address!= NULL)? sender_address : originator_login);
5249   }
5250 else
5251   {
5252   int old_pool = store_pool;
5253   store_pool = POOL_PERM;
5254   if (!received_protocol)
5255     received_protocol = string_sprintf("local%s", called_as);
5256   store_pool = old_pool;
5257   set_process_info("accepting a local non-SMTP message from <%s>",
5258     sender_address);
5259   }
5260
5261 /* Initialize the session_local_queue-only flag (this will be ignored if
5262 mua_wrapper is set) */
5263
5264 queue_check_only();
5265 session_local_queue_only = queue_only;
5266
5267 /* For non-SMTP and for batched SMTP input, check that there is enough space on
5268 the spool if so configured. On failure, we must not attempt to send an error
5269 message! (For interactive SMTP, the check happens at MAIL FROM and an SMTP
5270 error code is given.) */
5271
5272 if ((!smtp_input || smtp_batched_input) && !receive_check_fs(0))
5273   exim_fail("exim: insufficient disk space\n");
5274
5275 /* If this is smtp input of any kind, real or batched, handle the start of the
5276 SMTP session.
5277
5278 NOTE: We do *not* call smtp_log_no_mail() if smtp_start_session() fails,
5279 because a log line has already been written for all its failure exists
5280 (usually "connection refused: <reason>") and writing another one is
5281 unnecessary clutter. */
5282
5283 if (smtp_input)
5284   {
5285   smtp_in = stdin;
5286   smtp_out = stdout;
5287   memset(sender_host_cache, 0, sizeof(sender_host_cache));
5288   if (verify_check_host(&hosts_connection_nolog) == OK)
5289     BIT_CLEAR(log_selector, log_selector_size, Li_smtp_connection);
5290   log_write(L_smtp_connection, LOG_MAIN, "%s", smtp_get_connection_info());
5291   if (!smtp_start_session())
5292     {
5293     mac_smtp_fflush();
5294     exim_exit(EXIT_SUCCESS);
5295     }
5296   }
5297
5298 /* Otherwise, set up the input size limit here. */
5299
5300 else
5301   {
5302   thismessage_size_limit = expand_string_integer(message_size_limit, TRUE);
5303   if (expand_string_message)
5304     if (thismessage_size_limit == -1)
5305       log_write(0, LOG_MAIN|LOG_PANIC_DIE, "failed to expand "
5306         "message_size_limit: %s", expand_string_message);
5307     else
5308       log_write(0, LOG_MAIN|LOG_PANIC_DIE, "invalid value for "
5309         "message_size_limit: %s", expand_string_message);
5310   }
5311
5312 /* Loop for several messages when reading SMTP input. If we fork any child
5313 processes, we don't want to wait for them unless synchronous delivery is
5314 requested, so set SIGCHLD to SIG_IGN in that case. This is not necessarily the
5315 same as SIG_DFL, despite the fact that documentation often lists the default as
5316 "ignore". This is a confusing area. This is what I know:
5317
5318 At least on some systems (e.g. Solaris), just setting SIG_IGN causes child
5319 processes that complete simply to go away without ever becoming defunct. You
5320 can't then wait for them - but we don't want to wait for them in the
5321 non-synchronous delivery case. However, this behaviour of SIG_IGN doesn't
5322 happen for all OS (e.g. *BSD is different).
5323
5324 But that's not the end of the story. Some (many? all?) systems have the
5325 SA_NOCLDWAIT option for sigaction(). This requests the behaviour that Solaris
5326 has by default, so it seems that the difference is merely one of default
5327 (compare restarting vs non-restarting signals).
5328
5329 To cover all cases, Exim sets SIG_IGN with SA_NOCLDWAIT here if it can. If not,
5330 it just sets SIG_IGN. To be on the safe side it also calls waitpid() at the end
5331 of the loop below. Paranoia rules.
5332
5333 February 2003: That's *still* not the end of the story. There are now versions
5334 of Linux (where SIG_IGN does work) that are picky. If, having set SIG_IGN, a
5335 process then calls waitpid(), a grumble is written to the system log, because
5336 this is logically inconsistent. In other words, it doesn't like the paranoia.
5337 As a consequence of this, the waitpid() below is now excluded if we are sure
5338 that SIG_IGN works. */
5339
5340 if (!f.synchronous_delivery)
5341   {
5342   #ifdef SA_NOCLDWAIT
5343   struct sigaction act;
5344   act.sa_handler = SIG_IGN;
5345   sigemptyset(&(act.sa_mask));
5346   act.sa_flags = SA_NOCLDWAIT;
5347   sigaction(SIGCHLD, &act, NULL);
5348   #else
5349   signal(SIGCHLD, SIG_IGN);
5350   #endif
5351   }
5352
5353 /* Save the current store pool point, for resetting at the start of
5354 each message, and save the real sender address, if any. */
5355
5356 real_sender_address = sender_address;
5357
5358 /* Loop to receive messages; receive_msg() returns TRUE if there are more
5359 messages to be read (SMTP input), or FALSE otherwise (not SMTP, or SMTP channel
5360 collapsed). */
5361
5362 while (more)
5363   {
5364   rmark reset_point = store_mark();
5365   message_id[0] = 0;
5366
5367   /* Handle the SMTP case; call smtp_setup_mst() to deal with the initial SMTP
5368   input and build the recipients list, before calling receive_msg() to read the
5369   message proper. Whatever sender address is given in the SMTP transaction is
5370   often ignored for local senders - we use the actual sender, which is normally
5371   either the underlying user running this process or a -f argument provided by
5372   a trusted caller. It is saved in real_sender_address. The test for whether to
5373   accept the SMTP sender is encapsulated in receive_check_set_sender(). */
5374
5375   if (smtp_input)
5376     {
5377     int rc;
5378     if ((rc = smtp_setup_msg()) > 0)
5379       {
5380       if (real_sender_address != NULL &&
5381           !receive_check_set_sender(sender_address))
5382         {
5383         sender_address = raw_sender = real_sender_address;
5384         sender_address_unrewritten = NULL;
5385         }
5386
5387       /* For batched SMTP, we have to run the acl_not_smtp_start ACL, since it
5388       isn't really SMTP, so no other ACL will run until the acl_not_smtp one at
5389       the very end. The result of the ACL is ignored (as for other non-SMTP
5390       messages). It is run for its potential side effects. */
5391
5392       if (smtp_batched_input && acl_not_smtp_start != NULL)
5393         {
5394         uschar *user_msg, *log_msg;
5395         f.enable_dollar_recipients = TRUE;
5396         (void)acl_check(ACL_WHERE_NOTSMTP_START, NULL, acl_not_smtp_start,
5397           &user_msg, &log_msg);
5398         f.enable_dollar_recipients = FALSE;
5399         }
5400
5401       /* Now get the data for the message */
5402
5403       more = receive_msg(extract_recipients);
5404       if (message_id[0] == 0)
5405         {
5406         cancel_cutthrough_connection(TRUE, US"receive dropped");
5407         if (more) goto moreloop;
5408         smtp_log_no_mail();               /* Log no mail if configured */
5409         exim_exit(EXIT_FAILURE);
5410         }
5411       }
5412     else
5413       {
5414       cancel_cutthrough_connection(TRUE, US"message setup dropped");
5415       smtp_log_no_mail();               /* Log no mail if configured */
5416       exim_exit(rc ? EXIT_FAILURE : EXIT_SUCCESS);
5417       }
5418     }
5419
5420   /* In the non-SMTP case, we have all the information from the command
5421   line, but must process it in case it is in the more general RFC822
5422   format, and in any case, to detect syntax errors. Also, it appears that
5423   the use of comma-separated lists as single arguments is common, so we
5424   had better support them. */
5425
5426   else
5427     {
5428     int rcount = 0;
5429     int count = argc - recipients_arg;
5430     uschar **list = argv + recipients_arg;
5431
5432     /* These options cannot be changed dynamically for non-SMTP messages */
5433
5434     f.active_local_sender_retain = local_sender_retain;
5435     f.active_local_from_check = local_from_check;
5436
5437     /* Save before any rewriting */
5438
5439     raw_sender = string_copy(sender_address);
5440
5441     /* Loop for each argument (supplied by user hence tainted) */
5442
5443     for (int i = 0; i < count; i++)
5444       {
5445       int start, end, domain;
5446       uschar * errmess;
5447       uschar * s = string_copy_taint(list[i], TRUE);
5448
5449       /* Loop for each comma-separated address */
5450
5451       while (*s != 0)
5452         {
5453         BOOL finished = FALSE;
5454         uschar *recipient;
5455         uschar *ss = parse_find_address_end(s, FALSE);
5456
5457         if (*ss == ',') *ss = 0; else finished = TRUE;
5458
5459         /* Check max recipients - if -t was used, these aren't recipients */
5460
5461         if (recipients_max > 0 && ++rcount > recipients_max &&
5462             !extract_recipients)
5463           if (error_handling == ERRORS_STDERR)
5464             {
5465             fprintf(stderr, "exim: too many recipients\n");
5466             exim_exit(EXIT_FAILURE);
5467             }
5468           else
5469             return
5470               moan_to_sender(ERRMESS_TOOMANYRECIP, NULL, NULL, stdin, TRUE)?
5471                 errors_sender_rc : EXIT_FAILURE;
5472
5473 #ifdef SUPPORT_I18N
5474         {
5475         BOOL b = allow_utf8_domains;
5476         allow_utf8_domains = TRUE;
5477 #endif
5478         recipient =
5479           parse_extract_address(s, &errmess, &start, &end, &domain, FALSE);
5480
5481 #ifdef SUPPORT_I18N
5482         if (string_is_utf8(recipient))
5483           message_smtputf8 = TRUE;
5484         else
5485           allow_utf8_domains = b;
5486         }
5487 #endif
5488         if (domain == 0 && !f.allow_unqualified_recipient)
5489           {
5490           recipient = NULL;
5491           errmess = US"unqualified recipient address not allowed";
5492           }
5493
5494         if (!recipient)
5495           if (error_handling == ERRORS_STDERR)
5496             {
5497             fprintf(stderr, "exim: bad recipient address \"%s\": %s\n",
5498               string_printing(list[i]), errmess);
5499             exim_exit(EXIT_FAILURE);
5500             }
5501           else
5502             {
5503             error_block eblock;
5504             eblock.next = NULL;
5505             eblock.text1 = string_printing(list[i]);
5506             eblock.text2 = errmess;
5507             return
5508               moan_to_sender(ERRMESS_BADARGADDRESS, &eblock, NULL, stdin, TRUE)?
5509                 errors_sender_rc : EXIT_FAILURE;
5510             }
5511
5512         receive_add_recipient(string_copy_taint(recipient, TRUE), -1);
5513         s = ss;
5514         if (!finished)
5515           while (*(++s) != 0 && (*s == ',' || isspace(*s)));
5516         }
5517       }
5518
5519     /* Show the recipients when debugging */
5520
5521     DEBUG(D_receive)
5522       {
5523       if (sender_address) debug_printf("Sender: %s\n", sender_address);
5524       if (recipients_list)
5525         {
5526         debug_printf("Recipients:\n");
5527         for (int i = 0; i < recipients_count; i++)
5528           debug_printf("  %s\n", recipients_list[i].address);
5529         }
5530       }
5531
5532     /* Run the acl_not_smtp_start ACL if required. The result of the ACL is
5533     ignored; rejecting here would just add complication, and it can just as
5534     well be done later. Allow $recipients to be visible in the ACL. */
5535
5536     if (acl_not_smtp_start)
5537       {
5538       uschar *user_msg, *log_msg;
5539       f.enable_dollar_recipients = TRUE;
5540       (void)acl_check(ACL_WHERE_NOTSMTP_START, NULL, acl_not_smtp_start,
5541         &user_msg, &log_msg);
5542       f.enable_dollar_recipients = FALSE;
5543       }
5544
5545     /* Pause for a while waiting for input.  If none received in that time,
5546     close the logfile, if we had one open; then if we wait for a long-running
5547     datasource (months, in one use-case) log rotation will not leave us holding
5548     the file copy. */
5549
5550     if (!receive_timeout)
5551       {
5552       struct timeval t = { .tv_sec = 30*60, .tv_usec = 0 };     /* 30 minutes */
5553       fd_set r;
5554
5555       FD_ZERO(&r); FD_SET(0, &r);
5556       if (select(1, &r, NULL, NULL, &t) == 0) mainlog_close();
5557       }
5558
5559     /* Read the data for the message. If filter_test is not FTEST_NONE, this
5560     will just read the headers for the message, and not write anything onto the
5561     spool. */
5562
5563     message_ended = END_NOTENDED;
5564     more = receive_msg(extract_recipients);
5565
5566     /* more is always FALSE here (not SMTP message) when reading a message
5567     for real; when reading the headers of a message for filter testing,
5568     it is TRUE if the headers were terminated by '.' and FALSE otherwise. */
5569
5570     if (message_id[0] == 0) exim_exit(EXIT_FAILURE);
5571     }  /* Non-SMTP message reception */
5572
5573   /* If this is a filter testing run, there are headers in store, but
5574   no message on the spool. Run the filtering code in testing mode, setting
5575   the domain to the qualify domain and the local part to the current user,
5576   unless they have been set by options. The prefix and suffix are left unset
5577   unless specified. The the return path is set to to the sender unless it has
5578   already been set from a return-path header in the message. */
5579
5580   if (filter_test != FTEST_NONE)
5581     {
5582     deliver_domain = ftest_domain ? ftest_domain : qualify_domain_recipient;
5583     deliver_domain_orig = deliver_domain;
5584     deliver_localpart = ftest_localpart ? ftest_localpart : originator_login;
5585     deliver_localpart_orig = deliver_localpart;
5586     deliver_localpart_prefix = ftest_prefix;
5587     deliver_localpart_suffix = ftest_suffix;
5588     deliver_home = originator_home;
5589
5590     if (!return_path)
5591       {
5592       printf("Return-path copied from sender\n");
5593       return_path = string_copy(sender_address);
5594       }
5595     else
5596       printf("Return-path = %s\n", (return_path[0] == 0)? US"<>" : return_path);
5597     printf("Sender      = %s\n", (sender_address[0] == 0)? US"<>" : sender_address);
5598
5599     receive_add_recipient(
5600       string_sprintf("%s%s%s@%s",
5601         ftest_prefix ? ftest_prefix : US"",
5602         deliver_localpart,
5603         ftest_suffix ? ftest_suffix : US"",
5604         deliver_domain), -1);
5605
5606     printf("Recipient   = %s\n", recipients_list[0].address);
5607     if (ftest_prefix) printf("Prefix    = %s\n", ftest_prefix);
5608     if (ftest_suffix) printf("Suffix    = %s\n", ftest_suffix);
5609
5610     if (chdir("/"))   /* Get away from wherever the user is running this from */
5611       {
5612       DEBUG(D_receive) debug_printf("chdir(\"/\") failed\n");
5613       exim_exit(EXIT_FAILURE);
5614       }
5615
5616     /* Now we run either a system filter test, or a user filter test, or both.
5617     In the latter case, headers added by the system filter will persist and be
5618     available to the user filter. We need to copy the filter variables
5619     explicitly. */
5620
5621     if (filter_test & FTEST_SYSTEM)
5622       if (!filter_runtest(filter_sfd, filter_test_sfile, TRUE, more))
5623         exim_exit(EXIT_FAILURE);
5624
5625     memcpy(filter_sn, filter_n, sizeof(filter_sn));
5626
5627     if (filter_test & FTEST_USER)
5628       if (!filter_runtest(filter_ufd, filter_test_ufile, FALSE, more))
5629         exim_exit(EXIT_FAILURE);
5630
5631     exim_exit(EXIT_SUCCESS);
5632     }
5633
5634   /* Else act on the result of message reception. We should not get here unless
5635   message_id[0] is non-zero. If queue_only is set, session_local_queue_only
5636   will be TRUE. If it is not, check on the number of messages received in this
5637   connection. */
5638
5639   if (  !session_local_queue_only
5640      && smtp_accept_queue_per_connection > 0
5641      && receive_messagecount > smtp_accept_queue_per_connection)
5642     {
5643     session_local_queue_only = TRUE;
5644     queue_only_reason = 2;
5645     }
5646
5647   /* Initialize local_queue_only from session_local_queue_only. If it is false,
5648   and queue_only_load is set, check that the load average is below it. If it is
5649   not, set local_queue_only TRUE. If queue_only_load_latch is true (the
5650   default), we put the whole session into queue_only mode. It then remains this
5651   way for any subsequent messages on the same SMTP connection. This is a
5652   deliberate choice; even though the load average may fall, it doesn't seem
5653   right to deliver later messages on the same call when not delivering earlier
5654   ones. However, there are odd cases where this is not wanted, so this can be
5655   changed by setting queue_only_load_latch false. */
5656
5657   if (!(local_queue_only = session_local_queue_only) && queue_only_load >= 0)
5658     if ((local_queue_only = (load_average = OS_GETLOADAVG()) > queue_only_load))
5659       {
5660       queue_only_reason = 3;
5661       if (queue_only_load_latch) session_local_queue_only = TRUE;
5662       }
5663
5664   /* If running as an MUA wrapper, all queueing options and freezing options
5665   are ignored. */
5666
5667   if (mua_wrapper)
5668     local_queue_only = f.queue_only_policy = f.deliver_freeze = FALSE;
5669
5670   /* Log the queueing here, when it will get a message id attached, but
5671   not if queue_only is set (case 0). Case 1 doesn't happen here (too many
5672   connections). */
5673
5674   if (local_queue_only)
5675     {
5676     cancel_cutthrough_connection(TRUE, US"no delivery; queueing");
5677     switch(queue_only_reason)
5678       {
5679       case 2:
5680         log_write(L_delay_delivery,
5681                 LOG_MAIN, "no immediate delivery: more than %d messages "
5682           "received in one connection", smtp_accept_queue_per_connection);
5683         break;
5684
5685       case 3:
5686         log_write(L_delay_delivery,
5687                 LOG_MAIN, "no immediate delivery: load average %.2f",
5688                 (double)load_average/1000.0);
5689       break;
5690       }
5691     }
5692
5693   else if (f.queue_only_policy || f.deliver_freeze)
5694     cancel_cutthrough_connection(TRUE, US"no delivery; queueing");
5695
5696   /* Else do the delivery unless the ACL or local_scan() called for queue only
5697   or froze the message. Always deliver in a separate process. A fork failure is
5698   not a disaster, as the delivery will eventually happen on a subsequent queue
5699   run. The search cache must be tidied before the fork, as the parent will
5700   do it before exiting. The child will trigger a lookup failure and
5701   thereby defer the delivery if it tries to use (for example) a cached ldap
5702   connection that the parent has called unbind on. */
5703
5704   else
5705     {
5706     pid_t pid;
5707     search_tidyup();
5708
5709     if ((pid = exim_fork(US"local-accept-delivery")) == 0)
5710       {
5711       int rc;
5712       close_unwanted();      /* Close unwanted file descriptors and TLS */
5713       exim_nullstd();        /* Ensure std{in,out,err} exist */
5714
5715       /* Re-exec Exim if we need to regain privilege (note: in mua_wrapper
5716       mode, deliver_drop_privilege is forced TRUE). */
5717
5718       if (geteuid() != root_uid && !deliver_drop_privilege && !unprivileged)
5719         {
5720         delivery_re_exec(CEE_EXEC_EXIT);
5721         /* Control does not return here. */
5722         }
5723
5724       /* No need to re-exec */
5725
5726       rc = deliver_message(message_id, FALSE, FALSE);
5727       search_tidyup();
5728       exim_underbar_exit(!mua_wrapper || rc == DELIVER_MUA_SUCCEEDED
5729         ? EXIT_SUCCESS : EXIT_FAILURE);
5730       }
5731
5732     if (pid < 0)
5733       {
5734       cancel_cutthrough_connection(TRUE, US"delivery fork failed");
5735       log_write(0, LOG_MAIN|LOG_PANIC, "failed to fork automatic delivery "
5736         "process: %s", strerror(errno));
5737       }
5738     else
5739       {
5740       release_cutthrough_connection(US"msg passed for delivery");
5741
5742       /* In the parent, wait if synchronous delivery is required. This will
5743       always be the case in MUA wrapper mode. */
5744
5745       if (f.synchronous_delivery)
5746         {
5747         int status;
5748         while (wait(&status) != pid);
5749         if ((status & 0x00ff) != 0)
5750           log_write(0, LOG_MAIN|LOG_PANIC,
5751             "process %d crashed with signal %d while delivering %s",
5752             (int)pid, status & 0x00ff, message_id);
5753         if (mua_wrapper && (status & 0xffff) != 0) exim_exit(EXIT_FAILURE);
5754         }
5755       }
5756     }
5757
5758   /* The loop will repeat if more is TRUE. If we do not know know that the OS
5759   automatically reaps children (see comments above the loop), clear away any
5760   finished subprocesses here, in case there are lots of messages coming in
5761   from the same source. */
5762
5763   #ifndef SIG_IGN_WORKS
5764   while (waitpid(-1, NULL, WNOHANG) > 0);
5765   #endif
5766
5767 moreloop:
5768   return_path = sender_address = NULL;
5769   authenticated_sender = NULL;
5770   deliver_localpart_orig = NULL;
5771   deliver_domain_orig = NULL;
5772   deliver_host = deliver_host_address = NULL;
5773   dnslist_domain = dnslist_matched = NULL;
5774 #ifdef WITH_CONTENT_SCAN
5775   malware_name = NULL;
5776 #endif
5777   callout_address = NULL;
5778   sending_ip_address = NULL;
5779   deliver_localpart_data = deliver_domain_data =
5780   recipient_data = sender_data = NULL;
5781   acl_var_m = NULL;
5782   for(int i = 0; i < REGEX_VARS; i++) regex_vars[i] = NULL;
5783
5784   store_reset(reset_point);
5785   }
5786
5787 exim_exit(EXIT_SUCCESS);   /* Never returns */
5788 return 0;                  /* To stop compiler warning */
5789 }
5790
5791
5792 /* End of exim.c */