Built reparse symlinks from mount point recorded in volume

When building a symlink to emulate a Windows junction or absolute
symlink, use the mount point recorded in the volume attributes.
This enables the plugins to emulate object as symlinks.

Checked file type on OpenIndiana when deleting a file with a reparse point

On OpenIndiana a check is needed to ensure directories are not removed
by rm(1) and files not removed by rmdir(1)

Inserted the reparse tag in the bad reparse symlink

The reparse tag is not quoted in the "unsupported reparse point"
fake symlink shown when a reparse point cannot be processed. The tag
is useful to determine which plugin, if any, is missing.

Enabled actions on directories in reparse plugins

The plugins triggered by reparse points can now act on a directory
through link(2) unlink(2) and creat(2).

Fixed maintining the allocated size when updating sparse files

When filling a hole in a sparse file, the beginning of the runlist
does not need to be updated. However the allocated size is within
the extent holding its beginning and it needs to be updated.

Allowed customization of sbin for tool directory

Enabled the configure option --sbindir to define where a few ntfsprogs
tools should be installed

Change default xattr access method to 'openxattr' for macOS builds.

The namespaced way of accessing extended attributes doesn't make sense
in macOS which doesn't use namespaces.

Add support for 'position' argument in macOS xattr functions.

The 'position' argument is only used for the legacy resource fork and is
disallowed for other extended attributes. The name check is placed first
in the functions as this is how macOS behaves (EINVAL is returned if the
attribute is not the resource fork attribute and the position is non-0
even when the attribute does not exist).

Replace ENODATA with ENOATTR in xattrs functions for macOS builds.

The contract in macOS xattr functions is to return ENOATTR when an
extended attribute cannot be found.

Fixed possible null dereferencings

A null directory pointer could appear as being dereferenced. Fix that,
though it probably never occurs in real conditions.

Recovered space when an index root is shortened

In rare situations, removing an entry from an index root while
rebalancing the index tree, its space was not recovered from the index
root, causing chkdsk to complain. Truncate the index root when this
happens.

Defined option "posix_nlink" to compute a Posix compliant st_nlink

When the mount option "posix_nlink" is used, the number of links
returned by stat complies with Posix : the legacy 8.3 names are not
taken into account, and the subdirectories are taken into account
for directories. This causes some overhead for recomputing the
number of links.

Avoided information leak when processing garbled compressed data

When a compressed file has been deteriorated through hardware error
or accidental overwriting, some unrelated data could be leaked.
Make sure to zero fill the buffer when this happens.

Displayed the plugin path in the basic help message

The ntfs-3g plugin directory depends on the distribution and may be
difficult to determine. This displays the directory in the basic help.

Used kernel cacheing on read-only mounts or with lowntfs-3g

Kernel cacheing is now safe when using lowntfs-3g on Linux. It is also
safe on read-only mounts with both ntfs-3g and lowntfs-3g.

Fixed defining the request argument of ioctl()

An occurrence of changing the request from int to unsigned long was
missing.

Exported the translations of Windows paths

The translations of Windows paths designed for translating Windows symlinks
and mount points may also be used in plugins for translation execlinks,
so make them available.

Fixed object types returned in readdir() for reparse points

The types of reparse point objects cannot be decided upon the data
available in a directory, so we must delegate their determination to a
specific plugin when available, and be consistent if there is none.

Decoded execlink reparse data

Add execlink to the list of recognized reparse tags.

Fixed ntfsfallocate on a void file

The situation when there were no runlist when ntfsfallocate is applied
was not taken into account.

Fixed a poorly sized string in ntfsinfo

A string overflow was possible, extend its size to worst case.

Fixed a wrong fallthrough situation in ntfscat

A fallthrough situation was not intentional.

Silenced warnings about fallthrough situations in switch cases of ntfsprogs

Insert comments to silence compiler about fallthrough situations when
they are wanted.

Silenced warnings about string lengths in snprintf()

Adjust string lengths to the worst case estimated by the compiler, even
though they cannot be reached.

Silenced warnings about fallthrough situations in libntfs-3g

Insert a comment when fallthrough situations are desired in switch cases.

Avoided using a truncate strncpy() in the fuse library

Replace strncpy() by memcpy() when the exact size if known, thus
silencing the compiler warnings.

Removed <linux/fs.h> from lowntfs-3g.c

The headers from <linux.fs.h> now conflicts with <sys/uio.h> and are
not needed any more, so remove them.

Disabled the use of cache in lowntfs-3g

Following some change in the Linux kernel, the kernel cacheing of
attributes is not satisfactory (at least the number of hard links is
not refreshed), and has to be disabled.

Fixed returning EPERM when not allowed as owner

For actions which may be allowed depending on the ownership rather than
permissions (such as utime()), return EPERM if the owner cannot be
determined.

Fixed returning errno in setxattr

In case of error in setxattr, it must be returned in errno instead
of the return value.

Accepted alternative recording of cluster size

Since Windows 10, the cluster size may be greater than 128 sectors, and
it has to be recorded as a power of 2 in the boot sector. Hence there
are two possible ways of cluster size. Accept both ways leading to
valid values.

Defined the request argument of ioctl() as unsigned long

On linux the request argument of ioctl() is defined as an unsigned long,
but the fuse protocol squashes it into a signed int. As a consequence
the value received by ntfs-3g may appear as negative and different from
the value defined by the corresponding macro.
So define the request argument as unsigned long in ntfs-3g. It has
however to be fed as unsigned from fuse until the fuse protocol is
updated.

Updated the copyright notice

Updated the copyright notice to 2019

Truncated SSD trimming zones to granularity supported by the device

When the trimming granularity is greater than the cluster size, the
free zones have to be truncated to match the granularity.

Returned a low level error when an ioctl fails

When an ioctl fails, the errno is not correctly propagated, and the
log was wrong.

Fixed an endianness error in ntfscp

The file timestamp was not set according to CPU endianness.

Fixed reacting to missing plugin

When a plugin is missing, dlopen() does not set errno, which leads
to erratic behavior. Set errno as ELIBACC when this occurs.

Cleaned object ids beyond the updated part

An earlier patch enabled updating a file proper id without changing
the other id (birth, volume, domain). However the first time the id
is set, these other ids have to be zeroed.

Reverted accessing reparse directories through internal plugins

As similar reparse tags are being used for accessing OneDrive files
and directories, a similar policy has to be used for accessing them.
Until giving full access to OneDrive files with a local copy is
mature enough to have it processed internally, it is safer to have
it delegated to an external plugin. This reverts [4f450a]

Fixed reporting an error when setxattr is rejected

When permissions are enabled and setxattr() is rejected, an error
must be returned even though the option silent is set. This is needed
for "cp -p" to know it has to try setting the permissions again and use
chmod().

Fixed reporting an error when failed to build the mountpoint

The size check was inefficient because getcwd() uses an unsigned int
argument.

Fixed a typo in the ntfscluster manual

An essential word was missing.

Realigned times set from extended attribute

The alignment of times set in an extended attribute value cannot be
asserted, and this cause alignment errors on some CPUs (met on ARM).
Be safe by copying them in a properly aligned array.

Fixed collecting the label argument in mkntfs

The label argument could be wrongly interpreted, depending on the syntax
use to state the options.

Attempted mounting read-only after failed permission to read-write

If a partition image could not be opened read-write, retry as read-only

Removed an unused field (cleanup)

Cleanup imported from the fuse library project.

Prevented locally defined headers from interfering with ntfs-3g ones

Order the include directories so that those defined for ntfs-3g have
priority over locally defined ones.

Allocated full clusters for reading and rescuing in ntfsclone

Even though mft or index records may be smaller than a cluster,
reading and rescuing them is done on a full cluster base, so
full clusters must be allocated for processing them.

Extended the allowed cluster size to 2MB

From Windows 10 Creators edition, the cluster size limit has been
extended to 2MB. This has implied redefining the boot sector field
"sectors_per_cluster" so that values greater than 128 can be recorded.

Appended a number to undeleted file name to avoid overwriting an existing one

When an undeleted file name conflicts with an existing one, it is
renamed in order to preserve the existing one.

Added an option to ntfscp to copy the modification time

When using option -t the modification timestamp is copied by ntfscp

Made accessing reparse directories through internal plugins

When the bit 28 of a reparse tag is set on a directory, the reparse
information should be ignored and the directory should be accessed
the usual way (this setting is new to Windows 10). In such a situation
access to the directory through an internal plugin rather than through
an external one.
The same policy applies to REPARSE_TAG_WCI which had been defined
earlier without the bit 28 being set.

Checked whether the device to mount was forced read-only

Force the read-only mount mode when the device was set so through a
command "blockdev --setro".

Double-checked whether record 15 is an extent of MFT

When extents are needed to store the runlist of the MFT, the first one
must be located in record 15 so that its location can be determined from
the part in the base extent. As this record is always marked in use,
determining whether it is not really in use requires a specific logic.

Delayed updating the MFT runlist when resizing in read-only mode

When trying a resize in "no action" (read-only) mode, and the MFT runlist
has to be reorganized to take its new fragmentation into account, the updated
runlist cannot be read from the device while updating the runlist of
normal files. To avoid having to read the updated runlist, the update
is delayed so that the original runlist is used. As a consequence the test
of reorganizing the runlists is only an approximation of what would happen
in a real resize.

Fixed displaying an inode number in an error message

In an error message, the inode number was displayed in decimal without
taking off its generation number, making it difficult to interpret.

Removed an obsolete reference for getting support

Remove from the ntfsresize man page an archaic url for getting support.

Supported reparse tags for OneDrive cloud storage

Newer versions of Windows 10 use several reparse tags for files which
are synchronized to OneDrive cloud storage (0x9000301a, 0x9000601a,
0x9000701a, ...). identify them as IO_REPARSE_TAG_CLOUD and use a
single plugin to process them.

Silenced compiler warnings in ntfsrecover

Silence the compiler warnings which were introduced in a recent update.

Stopped checking matches of MFTMirr against MFT at record 16

Since its 2017 edition, Windows 10 has stopped mirroring $MFT to the
full size of $MFTMirr leading to mounts of partitions with big clusters
to be rejected because of mismatches. With this patch, only 16 records
are checked, though mirroring is still done for all records in $MFTMirr.

Documented read-only mount when Windows is hibernated

Document an earlier update which forced read-only mode when mounting
a partition which has been left by Windows in an inconsistent state
through hibernation or fast restarting.

Allowed setting a file object id without defining its birth ids

Object ids can be used to locate files which have been move to another
volume. This is only possible when the birth ids are recorded, but in most
cases files reside on their birth volume and their birth ids are not set.
The patch enables setting a file id without changing its birth id, by
setting an extended attribute "system.ntfs_object_id" limited to 16
bytes.

Processed redo log actions associated to undoing a CompensationlogRecord

At least when there is a shortage of space on the target device, several
redo actions are associated to undoing a CompensationlogRecord, and they
should be redone upon recovery.

Checked log file blocks more recent than temporary ones

Under some circumstances, the temporary log file blocks are not the
latest ones, so check whether there are more recent ones.
Only done for log version 1.x, as log version 2.x follow a different
logic.

Aligned internal log buffers on CPUs which require them

The generic buffer structure should respect the alignment of included
log structures. This is required by some CPUs (such as Sparc).

lowntfs-3g.c: Fix compile error when struct stat doesn't have st_*tim.

The struct members for the time fields in struct stat vary depending on
platform, so introduce #ifdefs using the config.h-supplied definitions
for determining which stat time definition is appropriate.

Logged falling back to mounting read-only

When the ntfs image is unclean, usually because it was not unmounted
properly from Windows, mounting read-write is denied and falls back
to read-only. Log this situation in the syslog, so that users mounting
through /etc/fstab can more easily know what is going on. Also remove
the "rw" option if it was stated.

Decoded more reparse tags in ntfsinfo

Displayed some information in ntfsinfo output about a few new types of
reparse point brought by Windows 10.

Enabled directory operations in plugins

Windows 10 brought a new type of reparse point for directories (0x80000018),
so add opendir() and readdir() to the plugin interface to take directories
into account. The interface for releasedir() is merged with release() as
the plugins can discriminate them if needed.

Relaxed limitations on security descriptors

Windows 10 brought security descriptors which contain ACE's related to
new ways of accessing files or directories. These ACE are now accepted
with minimal consistency checks. They are still ignored for translating
permissions and for Windows-type inheritance.

Fixed a typo

A typo made a directive for plugin developers difficult to understand

Fixed updating the vcn of subtree in ntfsrecover

The logic for determining where the actions SetIndexEntryVcnRoot and
SetIndexEntryVcnAllocation had to insert a new vcn was unclear and was
wrong in some situations. This is to fix the logic as determined by new
evidence.

Mentioned ntfsfallocate and ntfsrecover in the general ntfsprogs manual

The most recent ntfsprogs utilities should be referenced in the table of
contents.

Fixed the computation of highest_vcn when applying a runlist fixup

When a file is partially truncated, the highest_vcn has to be recomputed
before the file size is adjusted. As a consequence the unmapped run
inserted at the end of runlist to match the file size should not be taken
into account when determining the higest_vcn.

Upgraded ntfsrecover to support log files 2.0

When the fast restart mode of Windows 8 (or later) is activated, the
log file format is different (version 2.0 instead of 1.1), having 32
temporaty blocks instead of 2. This patch upgrades ntfsrecover to take
the new format into account.

Bypassed cluster allocation errors using --ignore-fs-check in ntfsclone

When using option --ignore-fs-check in ntfsclone, doubly allocated cluster
still lead to aborting the process. Bypassing the error is useful for
creating a metadata image intended for debugging, for example when the
partition was not closed properly and the logfile has to be applied to
restore the integrity of metadata.

Version 2017.3.23

Fixed computing the replacement bytes in ntfswipe

The computing of replacement bytes for overwriting undeletable files
uses random values and standard ones instead of the values provided in
option --bytes. Fix the mixup between both logics, mention the difference
in the documentation and reject defining both options --bytes and --undel.

ntfsusermap.c: Fix warning about implicit conversion between enums.

Fix bad native->little endian byteswap of little endian value.

Use signed endian conversion macros for signed little-endian members.

Removed the loader from boot image

The license for using the boot loader which used to be inserted by mkntfs
is unclear, so remove it, and only keep the boot sector restricted to
what is needed for having it recognized as such. The space for a loader
is still reserved so that an operating system being installed can insert
its own loader.

Version 2017.2.15

Loaded the fuse kernel module with no environment

Avoided leaking the current environment when loading the fuse kernel
module

Fixed expanding $STANDARD_INFORMATION with almost-full MFT record

When setting a security descriptor on an NTFS v1.2 format file in an
NTFS v3.0+ volume, NTFS-3G would migrate $STANDARD_INFORMATION to the
new format, which requires extending its size from 48 to 72 bytes.  If
this happened while the file's MFT record was almost full, and none of
the file's attributes could be made non-resident, and the file did not
have an attribute list attribute, then the operation would unexpectedly
fail with ENOENT.  Fix this by adding an attribute list to the file in
this situation.

(contributed by Eric Biggers)

Allowed names with trailing dot or space on conditions

Windows places filenames with a trailing dot or space in the Win32
namespace and allows setting DOS names on such files.  This is true even
though on Windows such filenames can only be created and accessed using
WinNT-style paths and will confuse most Windows software.  Regardless,
because libntfs-3g did not allow setting DOS names on such files, in
some cases it was impossible to correctly restore, using libntfs-3g, a
directory structure that was created under Windows.

Update ntfs_set_ntfs_dos_name() to permit operating on a file that has a
long name with a trailing dot or space.  But continue to forbid creating
such names on a filesystem FUSE-mounted with the windows_name option.
Additionally, continue to forbid a trailing a dot or space in DOS names;
this matches the Windows behavior.

(contributed by Eric Biggers)

Fixed setting opening contexts for plugins

The opening context was incorrectly passed to plugins by lowntfs-3g

(contributed by Eric Biggers)

Accepted displaying bad security descriptors on conditions

Display security descriptors in ntfssecaudit when they appear as
correctly formed, even when they contain unsupported items.

Fixed memory leak when failing to lookup an index

When an index could not be used, the search context was not freed

Got ready for Posix ACL support in fuse kernel

Following a recent patch to the fuse kernel, the Posix ACL checks can
be done within the kernel instead of having to be done in the file
system, provided lowntfs-3g is used.

This mode is still not used by default until the fuse patch is
released by distributions.

Removed unused argument from ntfs_make_symlink()

Now that the size of the reparse point attribute is no longer used by
the FUSE drivers to populate st_size for symlinks and junctions, it no
longer needs to be returned by ntfs_make_symlink().

(contributed by Eric Biggers)

Returned the size of locale encoded target as the size of symlinks

Made ntfs-3f conform to the standard POSIX convention of setting st_size
to the length of the symlink target without a terminating null.

(contributed by Eric Biggers)

Validated minimum size of mountpoint/symlink reparse points

valid_reparse_data() would read past the end of the reparse point buffer
if it was passed a malformed reparse point that had the tag for a
mountpoint or a symlink but had a data buffer smaller than expected.
Fix this by validating the buffer size.

(contributed by Eric Biggers)

Eliminated unnecessary strlen() in ntfs_get_ntfs_dos_name()

Since ntfs_ucstombs() returns the output string length, there is no need
to call strlen().

(contributed by Eric Biggers)

Fixed a possible buffer overrun in ntfs_utf16_to_utf8()

If an output buffer was provided, ntfs_utf16_to_utf8() limited the
output string length without the terminating null to 'outs_len'.  This
was incorrect because a terminating null was always added to the string,
causing a buffer overrun if the output string happened to have exactly
the maximum length.  This was a longstanding bug.  Fix it by leaving
space for a terminating null.

(contributed by Eric Biggers)

Made utf16_to_utf8_size() always honor @outs_len

utf16_to_utf8_size() was not guaranteed to fail with ENAMETOOLONG if the
computed length was greater than @outs_len.  This could cause a buffer
overrun in ntfs_utf16_to_utf8().

(contributed by Eric Biggers)

Preventing --enable-plugins from disabling the plugins

The plugins are enabled by default, and the can be disabled by the
configure option --disable-plugins, but the option --enable-plugins
also led to disabling them.

Fixed DISABLE_PLUGINS as the condition for not using plugins

The condition for using plugins did not match the definition by
./configure

Fixed nesting when not using plugins

The logical nesting (defined by {...}) did not match the physical nesting
(defined by #ifdef...#endif)

Fixed updating the backup boot sector in ntfslabel

The location of the backup boot sector was one-off