Hi,<br><br>System information where this problem has been discovered:<br>OS: AIX 5.3<br>Syslog NG version: 1.6.9<br>libol: 0.3.17<br><br>aixhost53:<br>&lt;13&gt;Mar 22 10:11:50 src@aixhost53 auth|security:info sshd[454900]: Connection from 
<a href="http://192.168.10.20">192.168.10.20</a> port 42498<br>&lt;13&gt;Mar 22 10:11:50 src@aixhost53 auth|security:info sshd[454900]: Failed none for root from <a href="http://192.168.10.20">192.168.10.20</a> port 42498 ssh2
<br><br><br>As you can see above, the AIX 5.3 system syslogd appends the facility and priority level to the message. I found no way<br>to stop AIX's syslogd doing this nasty thing.<br>Nevertheless when syslog-ng receives this message it is unable to parse the fields correctly because it reads
<br>eg. &quot;auth|security:info&quot; as program name. <br><br>I've spend a quick look at the code, namely 'macros.c' where it reads &quot;colon = memchr(msg-&gt;msg-&gt;data, ':', msg-&gt;msg-&gt;length);&quot;<br>in line 398
<br>macros.c:<br>...<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; case M_MSGONLY: {<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; char *colon;<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; int ofs;<br><br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; colon = memchr(msg-&gt;msg-&gt;data, ':', msg-&gt;msg-&gt;length);<br><br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; if (!colon) {
<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ofs = 0;<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; }<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; else {<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; // origofs = (colon - (char *) msg-&gt;msg-&gt;data) + 2;<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ofs = (colon - (char *) msg-&gt;msg-&gt;data) +6;
<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; if (ofs &gt; msg-&gt;msg-&gt;length)<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ofs = msg-&gt;msg-&gt;length;<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; }<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; length = append_string(dest, left, (char *) msg-&gt;msg-&gt;data + ofs, msg-&gt;msg-&gt;length - ofs, escape);
<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; break;<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; }<br><br>...<br><br>syslog-ng.conf:<br>destination tempfile { file(&quot;/tmp/syslog-ng.debug&quot; template(&quot;$YEAR-$MONTH-$DAY $HOUR:$MIN:$SEC $HOST $MSGONLY\n&quot;) template-esc
<br>ape(yes)); };<br><br>The syslog-ng.conf destination entry above causes that the message is cut off at &quot;nfo sshd ....&quot; and thus MSGONLY would read 'nfo sshd[454900]: Connection from <a href="http://192.168.10.20">
192.168.10.20</a> port 42498'<br>instead of &quot;Connection from <a href="http://192.168.10.20">192.168.10.20</a> port 42498&quot;<br><br>@Balazs: could you investigate this, if there is a fix possible for this &quot;parsing error&quot; ?
<br><br>thx<br>Jochen<br>