don't do_sethost_all in NS VHOST for unverified accounts

configure: --enable-warnings: check for -Wno-declaration-after-statement

Clang trunk is issuing dozens of these diagnostics for every single
compilation unit, warning that declaring variables after a statement
is not supported in versions of C before C99.

However, this is a C99 codebase, and we're using AC_PROG_CC_C99.
Disable this diagnostic.

libmowgli-2/: bump to latest HEAD

m4/atheme-featuretest-warnings.m4: check for -Wno-reserved-identifier

Clang 14 with --enable-warnings is emitting several of these
diagnostics for every single compilation unit, due to how
libmowgli names its variables. This is pointlessly annoying.

modules/backend/corestorage: respect general::db_save_blocking

We're not just called from the periodic commit timer, but also
on rehash, which includes some modreloads too (when reloading a
module that has configuration options).

We should always use a blocking save regardless of what caused
the save to happen, rather than just test in the periodic commit
timer callback.

This makes running under Valgrind much more amenable.

Fixes: b427d04059d4d4f7b396

libathemecore/logger: silence false positive memory leak diagnostic

modules/nickserv/verify: redefine messages as macros

This was (correctly) triggering -Wformat-security diagnostics because
they were not string literals.

Fixes: b40775a303c7bbcb027e

SECURITY.md: update for 7.2.12 release

SECURITY.md: update PGP key for ilbelkyr

Don't save last seen times for logged-in nicks

Last seen times are currently updated by, amongst other things, the
expiry check, which has the effect of updating every logged in nick and
user's line in the database every hour. This makes life much harder for
incremental backup systems -- by my very rough measurement, if a DB save
without an expiry check costs 1MB, a save that includes one will cost
10. Atheme databases aren't huge to begin with, but I think a tenfold
reduction is still worth chasing.

Edited by @aaronmdjones: Add NEWS entry and script to migrate back to
the v7.2 database format, should people wish to downgrade.

Closes #856

modules/alis: refuse unprivileged searches for oper-only cmodes

modules/alis: move all mode arg parsing into its own function

include/atheme/privs.h: tidy up

Align macro values, clean up some comments, alphabetise privileges
within each block, shift some flags around.

libathemecore/ptasks.c: stats c: show uplink host

This is already gated behind PRIV_SERVER_AUSPEX, which OperServ
SPECS describes as "view concealed information about servers".

Also, you can already obtain this information from `stats f`
(shows all active file descriptors associated with connections,
which includes endpoint IP addresses), which is gated behind the
same privilege.

libathemecore/ptasks.c: handle_stats(): use consistent case labels

Some of the case labels were uppercase followed by lowercase,
some of them were the other way around. Use a consistent scheme.

modules/contrib/: bump to latest HEAD

Allow hooks to force account expire

Edited and committed by @aaronmdjones: Other general code cleanup;
clarify that if a hook forces account expiry, the destructor for
the myuser object will take care of logging them out (if they are
logged in). Also account for the fact that they may be logged in
by having the log message include their login count. Finally, don't
let a hook prevent the expiry of an unverified account.

Closes #847

tell anything logged in to an account when it has been (F)VERIFYed  (#841)

* tell anything logged in to an account when it has been (F)VERIFYed

* don't thank on fverify

Merge pull request #854 from skizzerz/chm_nonotice

Support +T (CMODE_NONOTICE) in ircd-seven

Support +T (CMODE_NONOTICE)

This was already defined in the charybdis.h file, so just need to make
the rest of atheme recognize the mode.

modules/operserv/modmanager: fix relatively harmless memory leak

If passed a list consisting entirely of non-reloadable modules, we would
leak approximately up to 24 bytes of memory each time. Discovered manually
during reading the function.

Fixes: e2fd6f2a8959fb89acb2

increase importance of vhost-related user_identified hooks (#820)

use account name (with correct casing) for NS FREEZE logs (#836)

* use account name (with correct casing) for NS FREEZE logs

* action and reason can be const too

Merge pull request #819 from jesopo/last-seen-hidden

simplify NS INFO timestamp logic, indicate auspex being used

totally rewrite last/user seen code, express when a timestamp is hidden

Implement certfp list length max check (#848)

Implement certfp list length max check

Merge pull request #826 from examknow/honor-no-login-limit

services.c/enforce.c: honor no login limit flag

services.c/enforce.c: honor no login limit flag

Merge pull request #845 from jesopo/return-log-oldmail

show oldmail in NS RETURN logs

show oldmail in NS RETURN logs

Merge pull request #833 from edk0/sasl-pending

Avoid login desyncs when SASL is aborted or interrupted pre-registration

saslserv/main: Preserve pending login on abort

The previous patch made SaslServ aware of pending logins (i.e. SASL
sessions which have succeeded and generated a SVSLOGIN). This one
ensures that aborting a SASL authentication attempt does not destroy
that information: if you successfully authenticate as user A, then begin
and abort another authentication attempt as user B, you will log in as
user A.

This is only relevant in the pre-registration case, when SASL logins
cannot be actioned immediately. It's also necessary to avoid a desync in
this case: if we have already sent a SVSLOGIN for a login, the user is
going to be informed that they've logged in, and the ircd is going treat
them as though they're logged in. Other solutions are possible, but I
think the cleanest one is to action the last SVSLOGIN we sent, mirroring
their effect ircd-side.

saslserv/main: Track EID we're pending login to

The existing model does not remember that we've sent a SVSLOGIN for a
given SASL session, and simply assumes that if a client is introduced
with a SASL session open, that session must have succeeded. The security
of this approach requires ircd to implicitly abort SASL sessions on
client registration.

This also means that if a client successfully authenticates and then
does something else its pending login is forgotten about, even though a
SVSLOGIN has been sent for it, and the ircd is going to think it's
logged in.

This change removes the dependency on ircd's state machine by keeping
explicit track of the pending login, i.e. the one we've most recently
sent a SVSLOGIN for. The next commit will ensure that a client abort
(even an implicit one) doesn't blow that information away.

chanserv CLONE/CLEAR AKICKS/CLEAR FLAGS: use CMDLOG_SET

These commands would log at CMDLOG_DO, yet replicating their
functionality via a number of separate FLAGS/AKICK commands would log at
CMDLOG_SET.

Changes to services registrations normally use CMDLOG_SET, so for
consistency, make all of these commands log at that level.

nickserv/cert CLEAR: use CMDLOG_SET (not _GET)

This appears to be an oversight: the CLEAR command effects a change.
CMGLOG_SET matches the loglevel of ADD/DEL.

Merge PR #828

don't do ircd_on_login in myuser_rename if we're MU_WAITAUTH

Merge PR #767 (rehashable general::commit_interval)

visually warn when oper auspex causes you to see last seen time

atheme_main: rehash if necessary after DB load

Avoids an issue where a DB module dependency loads a service which then
doesn't get configured properly.

libathemecore/email: sendemail: don't leak pipe fds on fork failure

libathemecore/: move e-mail functions to their own compilation unit

libathemecore/connection: remove obsolete connection_close_all_fds()

libathemecore/connection: connection_add(): make fd non-inheritable

Grumble; Windows compatibility stuff, ew, etc. I just copied the
function below it. Windows compatibility is liable to get ripped
out of services entirely due to WSL being A Thing now, but for
now just follow the convention.

This means we now don't need to call connection_close_all_fds()
when forking to send e-mail.

libathemecore/random_fe_internal: don't leak urandom(4) fd to children

Merge pull request #814 from swantzter/patch-1

Bolden oper name in fungroup wallop

Bolden oper name in fungroup wallop

this brings consistency with the wallop from FDROP per modules/nickserv/drop.c L157

Merge pull request #813 from ProgVal/insp3

Document Insp 3 support

Document Insp 3 support

libathemecore/atheme.c: abort if uplink name clashes with ours

libathemecore/conf.c: ignore invalid uplink blocks

libathemecore/uplink.c: increase severity of duplicate log message

libathemecore/uplink.c: ensure uplink list is zero-initialised

modules/saslserv/main: simplify impersonation logic

Now that there's only one condition to check for, and the target
function checks the same condition anyway, just remove the
redundant check.

modules/saslserv/main: authxid_can_login: check for freeze early

Freezing an account should prevent a login attempt entirely, rather
than allowing the mechanism to succeed first, only for the login
itself to then fail.

nickserv/register, contrib/ns_{fregister,forbid}: check name validity

Reported-By: @dwfreed

libathemecore/phandler.c: is_valid_nick: check nickname length too

Also document more thoroughly why nicknames cannot begin with a digit
or a hyphen.

libathemecore/function.c: sendemail_urlencode: cast argument to isalnum(3)

This may avoid diagnostics on systems with signed chars. Not actually a
problem in practice because we do not consider such characters to be
valid in a nickname, which is required for them to be valid account
names.

cf. https://github.com/atheme/atheme/commit/fcc4e19a573001263245#r53314237

libathemecore/function.c: sendemail(): allow for urlencoding account

If one wishes to replace their register email template to prefix the account
name and registration verification token with a URL (to implement a webserver
to verify registrations, so people don't have to copy and paste commands to
execute on IRC), we should allow for the possibility that people will have
non-alphanumeric characters in their account name, and provide a URL-encoded
version of it.

This will ensure that such links are always clickable in various MUAs.

Merge pull request #793 from ProgVal/patch-1

INSTALL: Remove unnessarily agressive remark

Merge pull request #794 from ProgVal/patch-2

Explain configuration outside the "Compiling" section

Merge pull request #803 from ValwareIRC/master

gib de topic reject reason more verbose explanation

Merge pull request #807 from spb/hs-take-single

Allow HS TAKE without params if there's only one HS OFFER (#2)

Merge pull request #790 from edk0/confirm-by-emailchg

Make VERIFY EMAILCHG confirm the account if necessary

strncpy->mowgli_strlcpy, fix buffer size

Allow services-generated passwords length to be dynamically configured

Closes #800

Make a local copy before modifying the host string, as we might be using the copy from the offer db instead of a command parameter

Allow HS TAKE without params if there's only one HS OFFER

Update modules/chanserv/topic.c

Please change color to colour to match the rest of the language as it uses British English.

Co-authored-by: Data <redacted>

update a bit more ♥♥

Update function.c

Give correct information when declining a topic because of control chars.

Explain configuration outside the "Compiling" section

It didn't really make sense as configuration isn't part of the compilation.

Additionally, not everyone installs Atheme by compiling it themselves,
or they may not have the file at hand while reading this document
(eg. reading the documentation before actually doing it)

INSTALL: Remove unnessarily agressive remark

People who set up their first IRC network will read this documentation,
it seems unnecessary to shame them for... not knowing how to setup
and IRC network.

Merge pull request #792 from mquin/patch-1

Remove reference to SET FOUNDER in help for DROP

Remove reference to SET FOUNDER in help for DROP

.gitattributes: remove files that no longer exist

email/default/setpass: don't encourage contact for unsolicited receipt

Nothing can be done to the account without the token in this e-mail,
and any competent malicious actor who does have unauthorised access to
a user's e-mail inbox is also just going to delete the e-mail after
compromising the user's account anyway.

Therefore, it doesn't make sense to encourage the user to reach out to
the network administration.

Also clarify that password reset tokens are now automatically
invalidated by a successful login.

libathemecore/services.c: myuser_login(): invalidate password change tokens

libathemecore/ptasks.c: handle_kill(): don't use slog() if we got killed

If a client on our server is killed, we cannot reliably use slog(),
because the client may be OperServ, and slog() mesages are sent from
OperServ.

It turns out that some IRCds care about receiving messages from UIDs
it doesn't know about (because it just killed them), and will send
KILLs for them over and over again.

Reported-By: @A-UNDERSCORE-D

modules/protocol/unreal4: correct module name

Log correct target name for verifies

VERIFY EMAILCHG confirms account too

m4/atheme-libtest-*.m4: correct copy/paste mistake on temporary variable name

Merge pull request #786 from atheme/fix/module_unload

Module unloading use-after-free fixes

modules/operserv/modmanager: account for an entire list of non-reloadables

When recursing a given module's reverse dependencies, it is
possible that we run into a permanent module that is depended
upon by a semi-permanent (reload-only) module. This will result
in the reload of that module being skipped (as there is a
permanent module in its reverse dependency chain), but the
mod_recurse_revdeps() function will still set the r_dep pointer
to the semi-permanent one.

We then test if r_dep is set to perform a database save (in case
reloading of the reload-only module fails). However, if our
entire list of modules to reload has recursive non-reloadability
status, we will be saving the database for nothing, as we then
go on to ignore every module in the list.

Exit early if this is the case, avoiding a pointless wallops and
database save.

operserv/modmanager: MODRELOAD: avoid potential use-after-free

Listing the same module twice in the list of MODRELOAD parameters, or
listing a module that would already be unloaded for depending on a
module given earlier in the list, would attempt to unload a module that
had already been unloaded.

Instead of storing the module pointer when initially processing the
list, we now call module_find_published() again just before unloading
the module. (We do remember the unload capability value computed during
the initial processing to avoid having to recurse again.)

module_unload: avoid potential use-after-free

Given three modules (A, B, C), where:

B depends on A
C depends on B
C depends on A

Module A can end up with this reverse dependency graph (as represented
in the modules' required_by lists):

A -> B -> C
A -> C

Given B is listed first in required_by, it will be unloaded;
recursively, C will be unloaded. However, unloading a module also
removes it from its dependencies' required_by lists, thus removing C
from A's required_by list. While the _SAFE variant of the list iteration
macro is designed to handle the current element being removed, it is not
able to handle an arbitrary number of following elements being removed
as well.

As unloading a module will always remove it from the required_by list,
we can instead keep unloading the first element of the list until the
list is empty.

Update loginnolimit.c

Fixes #789

Update my e-mail address

modules/saslserv/main.c: rename flag for secure client connection

Hooks should be able to judge whether to allow an SASL negotiation
based on whether the client is connected to the network securely or
not; not just whether it is using TLS. Some IRCds have the concept
of "secure origins", and can treat e.g. connections from localhost
as secure against eavesdropping. Rename the flag appropriately.

Merge pull request #782 from atheme/amdj/stats-t-unpriv

libathemecore/ptasks.c: STATS:T: make nonsensitive data available

libathemecore/ptasks.c: STATS:T: make nonsensitive data available

The statistics for server, user, and chan can already be obtained via
the LUSERS command on IRC, so it does not make sense for services to
prevent accessing these by requiring services privileges.

Furthermore, the number of registered accounts, nicknames, and channels
should also not be considered sensitive data. The Atheme project does
not condone hiding such basic and non-sensitive data from network users.

Finally, put missing mynicks count in default MOTD file.

modules/chanserv/access: re-arrange empty check order

Discovered while I was about to merge #784. Didn't want to trip CI again
twice with the fix and merge, so I'll merge and fix it in one shot. The
rest of the pull request establishes the check order as permissions,
closure, and then emptiness.

Merge pull request #784 from phy1729/chanserv-ensure-not-closed

chanserv/{clear,clone}: Use STR_CHANNEL_IS_EMPTY

chanserv/{akick,clear,clone,getkey,info,invite,recover,sync,topic,unban,xop}: Sort checks

Checks go in the order access, closure, empty (if needed).

chanserv/{ban,kick,quiet,set,sync,taxonomy,unban}: Ensure channel is not closed

Merge pull request #780 from mquin/mquin-ns-help-examples

Add examples to NickServ help entries.

modules/nickserv/set_accountname: log when hook denies account name change