fix typo

Add variables for RFC 5176 Error Cause.

Add variables for DAE for RADIUS (RFC 5176).

Link regress unp-write-closed to build.

Restore original EPIPE and ENOTCONN errors priority in the uipc_send()
path changed in rev 1.206. At least acme-client(1) is not happy with
this change.

Reported by claudio. Tests and ok by bluhm.

Test writing to socket pair closed by the other side.  This must
trigger EPIPE error.

with and OK mvs@

Add more regress coverage for SSL_select_next_proto()

The ALPN callback should really ignore the out parameter if there's
no overlap. Document that explicitly. Also make it more explicit that
that the caller must work with a copy of out.

ok jsing

Cleanup control queue checks in vio(4).

Add missing newlines in prints while here.

ok sf@

Fix SSL_select_next_proto()

SSL_select_next_proto() is already quite broken by its design: const in,
non-const out, with the intention of pointing somewhere inside of the two
input pointers. A length returned in an unsigned char (because, you know,
the individual protocols are encoded in Pascal strings). Can't signal
uailure either. It also has an unreachable public return code.

Also, due to originally catering to NPN, this function opportunistically
selects a protocol from the second input (client) parameters, which makes
little sense for ALPN since that means the server falls back to a protocol
it doesn't (want to) support. If there's no overlap, it's the callback's
job to signal error to its caller for ALPN.

As if that wasn't enough misdesign and bugs, the one we're concerned with
here wasn't reported to us twice in ten years is that if you pass this API
a zero-length (or a sufficiently malformed client protocol list), it would
return a pointer pointing somewhere into the heap instead into one of the
two input pointers. This pointer could then be interpreted as a Pascal
string, resulting in an information disclosure of up to 255 bytes from the
heap to the peer, or a crash.

This can only happen for NPN (where it does happen in old python and node).

A long time ago jsing removed NPN support from LibreSSL, because it had
an utter garbage implementation and because it was practically unused.
First it was already replaced by the somewhat less bad ALPN, and the only
users were the always same language bindings that tend to use every feature
they shouldn't use. There were a lot of complaints due to failing test
cases in there, but in the end the decision turned out to be the right
one: the consequence is that LibreSSL isn't vulnerable to CVE-2024-5535.

Still, there is a bug here to fix. It is completely straightforward to
do so. Rewrite this mess using CBS, preserving the current behavior.
Also, we do not follow BoringSSL's renaming of the variables. It would
result in confusing code in almost all alpn callbacks I've seen in the
wild. The only exception is the accidental example of Qt.

ok jsing

Remove handling of SSLv2 client hello messages.

This code was only previously enabled if the minimum enabled version was
TLSv1.0 and a non-version locked method is in use. Since TLSv1.0 and
TLSv1.1 were disabled nearly a year ago, this code is no longer ever
being used.

ok tb@

drm/amdgpu: fix UBSAN warning in kv_dpm.c

From Alex Deucher
b065d79ed06a0bb4377bc6dcc2ff0cb1f55a798f in linux-6.6.y/6.6.36
f0d576f840153392d04b2d52cf3adab8f62e8cb6 in mainline linux

drm/radeon: fix UBSAN warning in kv_dpm.c

From Alex Deucher
9e57611182a817824a17b1c3dd300ee74a174b42 in linux-6.6.y/6.6.36
a498df5421fd737d11bfd152428ba6b1c8538321 in mainline linux

drm/i915/mso: using joiner is not possible with eDP MSO

From Jani Nikula
e7bda1f8ba8436266f7e49778009bf9995d1c801 in linux-6.6.y/6.6.36
49cc17967be95d64606d5684416ee51eec35e84a in mainline linux

delete obsolete comment

retire unused API

Clear interrupt before we process the request as specified in the
documentation.

ssl(8) no longer contains a HISTORY section;

space before punctuation in macro;

Remove outdated references to dhclient, it's finally going away.

Input & OK jmc

dhclient hasn't prodded us in a long time to renew a lease.

OK deraadt

Implement ts_set_limit() for rk3588.  This makes thermal zones on rk3588
boards work.  This should make DVFS safe on those boards.  Note that the
device trees shipped with the current u-boot-rk3588 package do not
include the necessary support for DVFS and thermal zones yet.

ok dlg@

Implement an optional callback function for thermal sensors to set a trip
limit to support thermal zones that don't do polling.  Thermal sensor
drivers should implement this callback if they can generate an interrupt
when the trop limit is reached and should call thermal_senser_update()
when that happens.

ok dlg@

move child process waitpid() loop out of SIGCHLD handler;
ok deraadt

Instead of using possibly complex ssh_signal(), write all the parts
of the grace_alarm_handler() using the exact things allowed by the
signal-safe rules.  This is a good rule of thumb: Handlers should
be written to either set a global volatile sig_atomic_t inspected
from outside, and/or directly perform only safe operations listed
in our sigaction(2) manual page.
ok djm markus

save_errno wrappers inside two small signal handlers that perform
system calls, for systems with libc that do perform libc sigtramps.
ok djm markus

Remove unnecessary structure declaration.

ok jsg@

Push socket re-lock to the vnode(9) release path within unp_detach().
The only reason to re-lock dying `so' is the lock order with vnode(9)
lock, thus `unp_gc_lock' rwlock(9) could be taken after solock().

ok bluhm

Bump version

remove psk_idx from tlsext_randomize_build_order()

ok jsing

tls_extension_find(): make output index optional

suggested by jsing

return type on a dedicated line when declaring functions
ok mglocker@

Implement RSA key exchange in constant time.

RSA key exchange is known to have multiple security weaknesses,
including being potentially susceptible to padding oracle and timing
attacks.

The RSA key exchange code that we inherited from OpenSSL was riddled
with timing leaks, many of which we fixed (or minimised) early on.
However, a number of issues still remained, particularly those
related to libcrypto's RSA decryption and padding checks.

Rework the RSA key exchange code such that we decrypt with
RSA_NO_PADDING and then check the padding ourselves in constant
time. In this case, the pre-master secret is of a known length,
hence the padding is also a known length based on the size of the
RSA key. This makes it easy to implement a check that is much safer
than having RSA_private_decrypt() depad for us.

Regardless, we still strongly recommend disabling RSA key exchange
and using other key exchange methods that provide perfect forward
secrecy and do not depend on client generated keys.

Thanks to Marcel Maehren, Nurullah Erinola, Robert Merget, Juraj
Somorovsky, Joerg Schwenk and Hubert Kario for raising these issues
with us at various points in time.

ok tb@

When filling prefixes with pt_writebuf() keep 2 bytes reserved in the
withdraw case. Those bytes are needed for the attribute length field.
Without this withdraw messages can become overfull and are dropped
without notice.

Problem found and fix tested by denis@
OK denis@ tb@

Print the last non-wakeup interrupt received during suspend.  Note that
this may print an (MSI) interrupt that sneaks in just before we actually
enter the idle loop on the primary CPU.  While such an interrupt shouldn't
happen, they won't prevent the machine from reaching a low power idle state.
So at this point these non-wakeup interrupts only need to be investigated
when the primary CPU gets woken up repeatedly.

ok mglocker@, deraadt@

Implement sleep button and EC events as wakeup events.  Print the wakeup
reason.

ok mglocker@, deraadt@

Fix TLS extension shuffling

The diff decoupling the shuffle from the table order still relied on PSK
being last because it failed to adjust the upper bound in the for loop.

ok jsing

Show AMD SEV bits during identify CPU in dmesg.

Enable identifycpu() to discover and show AMD SEV related information
provided by cpuid.
The "crypt bit" for page table entries is stored in amd64_pos_cbit,
although it is not used yet.
Registers ecx and edx provide the number of guest and minimum ASID
for SEV-only guests.  At least the latter value can be configured
in the BIOS, so it is useful to have this information in dmesg.
Therefore define emtpy bit masks for printf("%b") to get the raw
numbers.

from hshoexer@; OK mlarkin@

Some machines send AC change notifications to acpibat(4).  Forward this
notification to acpiac(4), so that the AC status can be reflected correctly
to programs like apm(8).

This for example fixes the AC status on the Microsoft Surface Go 4.

Help from kettenis@

ok deraadt@, kettenis@

changing EINVAL from "has no associated size" to "has insufficient size"
does a better job of covering the case of partition not configured
(size = 0) or other too-small decision the kernel may make

Explicitly allocate stack memory for ICMP payload in IPv4 forward.

Old ip_forward() allocated a fake mbuf copy on the stack to send
an ICMP packet after ip_output() has failed.  It seems easier to
just copy the data onto the stack that icmp_error() may use.  Only
if the ICMP error packet is acutally sent, create the mbuf.

m_dup_pkthdr() uses atomic operation to link the incpb to mbuf.
pf_pkt_addr_changed() was immediately called afterwards to remove
the linkage again.  Also m_tag_delete_chain() was overhead.  New
code uses less CPU locking in the hot path.

OK deraadt@ claudio@

Add a way (refresh-client -r) for control mode clients to provide OSC 10
and 11 responses to tmux so they can set the default foreground and
background colours, from George Nachman in GitHub issue 4014.

Check the underline style colour against the correct default value again
(it was changed from 0 to 8), from Romain Francoise.

- uppercase start of sentence
- correct sentence grammar

ok djm

ssl_err: KNF tweak

ssl_err: fix whitespace

libcrypto: constify most error string tables

These constitute the bulk of the remaining global mutable state in
libcrypto. This commit moves most of them into data.rel.ro, leaving
out ERR_str_{functs,libraries,reasons} (which require a slightly
different approach) and SYS_str_reasons which is populated on startup.

The main observation is that if ERR_load_strings() is called with a 0 lib
argument, the ERR_STRING_DATA argument is not actually modified. We could
use this fact to cast away const on the caller side and be done with it.
We can make this cleaner by adding a helper ERR_load_const_strings() which
explicitly avoids the assignment to str->error overriding the error code
already set in the table.

In order for this to work, we need to sprinkle some const in err/err.c.
CMS called ERR_load_strings() with non-0 lib argument, but this didn't
actually modify the error data since it ored in the value already stored
in the table.

Annoyingly, we need to cast const away once, namely in the call to
lh_insert() in int_err_set_item(). Fixing this would require changing
the public API and is going to be tricky since it requires that the
LHASH_DOALL_FN_* types adjust.

ok jsing

x509_conf: rename the merr label into err

Studio -> Mac Studio; from Bryan Vyhmeister

mention SshdSessionPath option

drm/i915: Fix audio component initialization

From Imre Deak
f287b1e34f1dd910723ca720300548c27a9a72d7 in linux-6.6.y/6.6.35
75800e2e4203ea83bbc9d4f63ad97ea582244a08 in mainline linux

drm/i915/dpt: Make DPT object unshrinkable

From Vidya Srinivas
7a9883be3b98673333eec65c4a21cc18e60292eb in linux-6.6.y/6.6.35
43e2b37e2ab660c3565d4cff27922bc70e79c3f1 in mainline linux

drm/i915/gt: Disarm breadcrumbs if engines are already idle

From Chris Wilson
1d2f1123a05e3e269cd7564005b0b717f2014437 in linux-6.6.y/6.6.35
70cb9188ffc75e643debf292fcddff36c9dbd4ae in mainline linux

If an ioctl(2) request isn't implemented we should return ENOTTY.

ok deraadt@

When ripping out Qualcomm's EL2 on the x13s, calls into the Secure Monitor
make the machine crash.  As it turns out the SMC calling convention specifies
that further registers up to and including x18 might need to be caller-saved,
which we seem to have to follow now.

ok kettenis@

While Qualcomm Snapdragon X Elite (X1E80100) claims to support 32 device-id
bits, it only seems to allow a 4k pagesize with 8 bytes per entry.  This is
not enough to handle all 32 device-id bits, but we also don't necessarily
need to handle all of them.  Hence clamp down the number of maximum device
IDs to as much as we can possibly configure in hardware.

ok kettenis@

Add support for ACPI firmware that provides the base address of individual
GIC redistributors in the per-CPU GIC MADT table entries.

ok patrick@

rust-openssl: switch from deprecated config to config.toml

Fix previous commit; add missing label

Add RK3588 support.

ok patrick@

Enable EPAN if it is available.

ok patrick@

openssl ca: avoid double free for spkac files without default section

ok jsing

strmode takes a mode_t, not an int; prompted by Collin Funk.
ok kettenis@ deraadt@ tb@

lower parts of the manual page clearly say why using malloc() to
allocate sigaltstack regions is bad... so the example code should
not use malloc()...
ok semarie

Remove the less-than-useful change log.

ok tb@

Rewrite BN_bn2mpi() using CBB.

The content is effectively a u32 length prefixed field, so use
CBB_add_u32_length_prefixed(). Use BN_bn2binpad() rather than manually
padding if we need to extend and use sensible variable names so that the
code becomes more readable.

Note that since CBB can fail we now need to be able to indicate failure.
This means that BN_bn2mpi() can now return -1 when it would not have
previously (correct callers will check that BN_bn2mpi() returns a positive
length).

ok tb@

Sync bytestring from libssl.

Provide CBB_add_u32_length_prefixed().

This is needed for an upcoming change in libcrypto.

ok tb@

delete ancient netbsd pcibios tweaking trash

correct elfcore_procinfo naming (in comments)

remove space between function names and argument list

My earlier commit [1.1169 of pf.c (2023/01/05)] makes pf(4) to report wrong
rule and anchor number when packet matches rule found and anchor depth 2
and more.  The issue has been noticed and reported by Giannis Kapetanakis
(billias _at_ edu.physics.uoc.gr), who also co-developed and tested
the final fix presented in this commit.

To fix the issue pf(4) must also remember the anchor where matching rule
belongs while rules are traversed to find a match for given packet.
The information on anchor is now kept in anchor stack frame.w

OK sthen@

recognise Qualcomm Oryon; ok kettenis@

Update ruby-module.5 for default Ruby version switch to 3.3

Instead of allocating an arbitrary amount of extra space, let the EFI
devicetree fixup protocol less us how much space it needs.

Pointed out by Heinrich Schuchardt
ok tobhe@, mlarkin@

Instead of allocating an arbitrary amount of extra space, let the EFI
devicetree fixup protocol less us how much space it needs.

Pointed out by Heinrich Schuchardt
ok tobhe@, mlarkin@

Instead of allocating an arbitrary amount of extra space, let the EFI
devicetree fixup protocol less us how much space it needs.

Pointed out by Heinrich Schuchardt
ok tobhe@, mlarkin@

Add missing ref & reorder

OK tb@ claudio@

Read IPv6 forwarding value only once while processing a packet.

IPv4 uses IP_FORWARDING to pass down a consistent value of
net.inet.ip.forwarding down the stack.  This is needed for unlocking
sysctl.  Do the same for IPv6.

Read ip6_forwarding once in ip6_input_if() and pass down IPV6_FORWARDING
as flags to ip6_ours(), ip6_hbhchcheck(), ip6_forward().  Replace
the srcrt value with IPV6_REDIRECT flag for consistency with IPv4.

To have common syntax with IPv4, use ip6_forwarding == 0 checks
instead of !ip6_forwarding.  This will also make it easier to
implement net.inet6.ip6.forwarding=2 for IPsec only forwarding
later.

In nd6_ns_input() and nd6_na_input() read ip6_forwarding once and
store it in i_am_router.  The variable name has been chosen to avoid
confusion with is_router, which indicates router flag of the packet.
Reading of ip6_forwarding is done independently from ip6_input_if(),
consistency does not really matter.  One is for ND router behavior
the other for forwarding.  Again use the ip6_forwarding != 0 check,
so when ip6_forwarding IPsec only value 2 gets implemented, it will
behave like a router.

OK deraadt@ sashan@ florian@ claudio@

Do not send ICMP redirect if IP forwarding is IPsec only.

If sysctl net.inet.ip.forwarding is set to 2, only packets processed
by IPsec are forwarded.  I this case behave more like a router than
a host and do not accept ICMP redirect packets.

OK deraadt@ sashan@ florian@ claudio@

vmd(8): protect global vm and vcpu state with mutex.

The vm process uses multiple pthreads to emulate vcpu and also drive
an event loop doing various io emulation. At points, one or the
other needs to read/write global vm state bits and toggle if a vcpu
is halted or "done."

This adds in a another mutex to protected the global state and
untangles areas where the mutex for protecting a condition variable
was being used around modifying some global state.

ok mlarkin@

Enable uvm percpu caches on luna88k.

It survives 3.5 days "make build" and makes about 1.5% faster on 3 CPU
machine:-)

ok miod@ phessler@ dlg@

Work around dbclient cipher and mac query bug.

Unlike earlier versions, recent Dropbear (at least v2024.85) requires
a host arg when querying supported ciphers and macs via "-c/-m
help".  Earlier versions accept but do not require it, so always
provide it.  If these queries fail, skip the test with a warning.

Remove dropbear key types not supported by current OpenSSH.
Allows subsequent test runs to work if OpenSSH is rebuilt w/out OpenSSL.

stricter check for overfull tables in penalty record path

put back reaping of preauth child process when writes from the monitor
fail. Not sure how this got lost in the avalanche of patches.

The GICv3 redistributor spacing on the X1E80100 (Snapdragon X Elite)
does not follow the regular scheme and needs to be read out of the
redistributor-stride property.

ok kettenis@

Add PNP IDs to handle the X1E80100 (Snapdragon X Elite) USB controllers.

ok kettenis@

Add _HID for X1E80100 (Snapdragon X Elite) SoCs.

ok kettenis@

The X1E80100 (Snapdragon X Elite) joins the group of chips that require
the SMMU quirk.

ok kettenis@

remove externs for global hibernate_state
removed in subr_hibernate.c rev 1.35

Kill the SIGPIPE signal handler which is installed around write opertations.
Instead just SIG_IGN SIGPIPE in main.c for all of acme-client.
More work to be done here but at least this distraction is gone.
OK florian@ deraadt@ op@

Provide defaults for ciphers and macs if querying for them fails since
on some versions of Dropbear (at least v2024.85) "-m help" doesn't seem
to work.  Enable all supported pubkey algorithms in the server.

Use ed25519 keys for kex tests since that's supported by OpenSSH even when
built without OpenSSL.  Only test diffie-hellman kex if OpenSSH is compiled
with support for it.

Rework dropbear key setup to always generate ed25519 keys, other types
only if OpenSSH has support for the corresponding key type.

x_all.c: remove a bunch of unnecessary parentheses

Handle interfaces going down and up again.

Missing feature reported by, testing & OK semarie

Better words for downloaded snap is older message.
ok deraadt@ florian@ tb@

#if notyet -> #ifdef notyet for consistency and -Wundef

Stop trying to deprecate "test -L" in favour of "test -h" (or vice versa).
It's hopeless because POSIX requires both since Issue 6 (2001).
Both always worked on OpenBSD, no matter which base system shell was used.

According to research done by jsg@, it seems likely that actually,
"test -L" has precedence over "test -h" by about one year:
v8 (Feb 1985) had -L, SunOS 3.0 (Feb 1986) had -h; but SVR4 (1989)
already had both, so we are talking about 35 years of petrification.
More details: https://marc.info/?l=openbsd-bugs&m=171867441927989

Resolving a question raised by Tim dot theCHASEs dot com on bugs@.
OK deraadt@ millert@ jsg@ jmc@  and also works for Tim Chase.