Fix infinite loop in BN_mod_sqrt()

A bug in the implementation of the Tonelli-Shanks algorithm can lead to
an infinite loop. This loop can be hit in various ways, in particular on
decompressing an elliptic curve public key via EC_POINT_oct2point() - to
do this, one must solve y^2 = x^3 + ax + b for y, given x.

If a certificate uses explicit encoding for elliptic curve parameters,
this operation needs to be done during certificate verification, leading
to a DoS. In particular, everything dealing with untrusted certificates
is affected, notably TLS servers explicitly configured to request
client certificates (httpd, smtpd, various VPN implementations, ...).
Ordinary TLS servers do not consume untrusted certificates.

The problem is that we cannot assume that x^3 + ax + b is actually a
square on untrusted input and neither can we assume that the modulus
p is a prime. Ensuring that p is a prime is too expensive (it would
likely itself lead to a DoS). To avoid the infinite loop, fix the logic
to be more resilient and explicitly limit the number of iterations that
can be done.  The bug is such that the infinite loop can also be hit for
primes = 3 (mod 4) but fortunately that case is optimized earlier.

It's also worth noting that there is a size bound on the field size
enforced via OPENSSL_ECC_MAX_FIELD_BITS (= 661), which help mitigate
further DoS vectors in presence of this fix.

Reported by Tavis Ormandy and David Benjamin, Google
Patch based on the fixes by David Benjamin and Tomas Mraz, OpenSSL

ok beck inoguchi

document noconfigurejunk, assuming it works as expected

Refactor prefix_adjout_update(). Move the new prefix logic up and
then just fall through the update path. This is more in line with
prefix_update() and will make further work simpler.
OK tb@

Fix build after recent IKEv2 message fragment retransmit change.
Found by anton@

sync

Enable IP header checksum offloading in ix(4).

ok jmatthew@

Add a test for expanding macros in large-community strings.

Change how $macros are expanded in the config.

Expand $macros not only at the start of a yacc token but also inside STRING
elements. STRING elements are used e.g. for community specifications and
it makes sense to allow $FOO:$BAR to correctly expand. There is no expansion
of macros in quoted strings (both single and double quotes).

Factor out the macro expand logic and with this introduce its own lookup
buffer for the macro name. For expansion to work inside STRING the char
after the makro name must be a character not allowed in macro names (not
alpha-numerical or '_').

Add extra checks to set variables. Mainly restrict length of the name and
also make sure it does not include not allowed characters.
OK tb@

Fix Tx rate used by rtwn(4) and urtwn(4) for RTS frames.

Using ni_txrate for RTS is a bad choice since it could go up to 54 Mbit/s.
The AP needs to receive our RTS frame reliably. Usually, 1 Mbit/s is used
for RTS, but this hurts throughput and does not really make sense on today's
wifi networks.

Use 1 Mbit/s in 11b mode, and otherwise use 24 Mbit/s, as damien@
already hard-coded in urtwn long ago.

ok kevlo@

Fix Tx rate used by rtwn(4) and urtwn(4) for RTS frames.

Using ni_txrate for RTS is a bad choice since it could go up to 54 Mbit/s.
The AP needs to receive our RTS frame reliably. Usually, 1 Mbit/s is used
for RTS, but this hurts throughput and does not really make sense on today's
wifi networks.

Use 1 Mbit/s in 11b mode, and otherwise use 24 Mbit/s, as damien@
already hard-coded in urtwn long ago.

ok kevlo@

remove if_vxlan.h unused after if_vxlan.c rev 1.84
ok kevlo@ claudio@

if we pass exact pkg args, just check that their files are there instead
of the full pkgtree, useful for debug

Fix crash caused by confusion between requested device and last used one

Found by and ok semarie@

improve DEBUG_CHANNEL_POLL debugging message

Enable checksum offloads.  The nic does all the work here, so we don't
need to calculate header offsets for it.

ok dlg@

unload the dmamap in bnxt_dmamem_free.

this is technically not necessary, but it makes it feel symmetrical
with bnxt_dmamem_alloc which loads it.

ok jmatthew@

Unbreak the tree, revert commitid aZ8fm4iaUnTCc0ul

This reverts the commit protecting the list and hashes in the PCB tables
with a mutex since the build of sysctl(8) breaks, as found by kettenis.

ok sthen

add -k flag to gzip and gunzip

When using this flag, the input file is kept after
compression or decompression, this makes our gzip
more compatible with the other gzip

changes reworked by jca@, thanks
ok jca@ millert@

Add a few regress test cases for name constraints.

From Alex Wilson

Allow constraints of the form @domain.com

Some things issue and expect that we support a non-standard extension of
accepting any email address from a host by prefixing an email name
constraint with @. This used to be the case with the old code as well.

Pointed out and based on a diff by Alex Wilson.

ok jsing

Rework ownership handling in x509_constraints_validate()

Instead of having the caller allocate and pass in a new
x509_constraints_name struct, handle allocation inside
x509_constraints_validate(). Also make the error optional.
All this is done to simplify the call sites and to make it
more obvious that there are no leaks.

ok jsing

There is no objectionable-C compiler in the comp set anymore.

The current FDT code we use in the bootloader is buggy and will write into
memory beyond the actual FDT data structure when adding information to the
device tree.  This is especially problematic on ACPI systems where we add
lots of information to the device tree based on ACPI tables.  Fix the FDT
code to never write beyond the end of the data structure and panic if we
run out of free space.  Raise the amount of free space frm 4K to 16K for
the proto-FDT we use on ACPI systems.  Bump the version number of the
arm64 bootloader.

ok visa@, patrick@

pf_socket_lookup() calls in_pcbhashlookup() in the PCB layer.  To
run pf in parallel, make parts of the stack MP safe.  Protect the
list and hashes in the PCB tables with a mutex.
Note that the protocol notify functions may call pf via tcp_output().
As the pf lock is a sleeping rw_lock, we must not hold a mutex.  To
solve this for now, collect these PCBs in inp_notify list and protect
it with exclusive netlock.
OK sashan@

Abstract duplicated code scanning gpt_types[] into a helper
function find_gpt_type().

Use find_gpt_type() to simplify the functions obtaining
information from gpt_types[]. Add not yet used
PRT_uuid_to_protection() to allow simplification of GPT partition
protection code..

No intentional functional change.

Factor out unexpected handshake message handling code in the legacy stack.

The TLS record layer has to be able to handle unexpected handshake messages
that result when it has been asked to read application data. The way that
this is currently done in the legacy stack is a layering violation - the
record layer knows about DTLS/TLS handshake messages, parsing them and then
deciding what action to take. This is further complicated by the need to
handle handshake message fragments.

For now, factor this code out with minimal changes - since it is a layering
violation we have to retain separate code for DTLS and TLS.

ok beck@ inoguchi@ tb@

Factor out ASN1_STRING clearing code.

This fixes a bug in ASN1_STRING_set0() where it does not respect the
ASN1_STRING_FLAG_NDEF flag and potentially frees memory that we do not own.

ok inguchi@ tb@

First pass clean up of ASN1_STRING code.

Use consistent variable names (astr/src) rather than 'a', 'bs', 'str', 'v'
or 'x', add some whitespace and remove some unneeded parentheses.

ok inoguchi@ tb@

update iwx(4) man page CAVEATS section in light of 11ac support

Add initial support for 802.11ac (VHT) to the iwx(4) driver.

This makes it possible to use 80MHz channels and VHT-specific MCS.
Other 11ac features remain disabled for now.

Tested:
ax200: Matthias Schmidt, phessler, dv, kevlo, Joel Carnat, hrvoje, jmc, stsp
ax201: mlarkin, stsp
iwm (regression testing): stsp

Add initial 802.11ac (VHT) support to net80211.

Add VHT capability and operation IE definitions to ieee80211.h.
Introduce channel flags to identify 80MHz and 160MHz capable channels.

Parse VHT IEs in beacons, announce the driver's VHT capabilities in
probe requests and assoc requests, and hop into 11ac mode after
association to the AP if possible.

Enable VHT by default if the driver announces support for it.

ok claudio@

sync ieee80211 channel flags over to radiotap

And the prototype too.

PRT_uuid_to_typename() can return const char *.

Nuke extraneous blank line.

Fix Tx performance on urtwn(4) RTL8192EU devices.

The "driver rate" bit which tells firmware to use the driver-provided
Tx rate is in a different spot of Tx descriptor double word 3.
Fix the corresponding macro definition.

The device was sending all frames at CCK1 because of this bug, regardless
of the Tx rate the driver had chosen.

tcpbench before:
Conn:   1 Mbps:        0.808 Peak Mbps:        1.108 Avg Mbps:        0.808

tcpbench with fix:
Conn:   1 Mbps:       21.078 Peak Mbps:       21.078 Avg Mbps:       21.078

ok jmatthew@

Make sure the apldart(4) implementation of bus_dmamap_destroy(9) does the
equivalent of bus_dmamap_unload(9) if active mappings exist.  This fixes
the kerenal panics seen with bringing bwfm(4) down and up again.

ok jsg@, patrick@

Improve retransmission of message fragments.  RFC 7383 states that loss of
a single fragment results in a retransmit of all fragments belonging
to the same message.  Instead of treating each fragment as message with
seperate retransmit timer, keep only a single timer for all fragments of
a message and retransmit all fragments in order on timeout.
Improves reliability in case of packet loss when fragmentation is enabled.

Found by and diff from Daniel Herzinger
ok patrick@

minor lint fixes

document changes to MODPERL_REGEN_PPPORT

Increase timeout to make test pass on sparc64.

ssh: xstrdup(): use memcpy(3)

Copying the given string into the buffer with strlcpy(3) confers no
benefit in this context because we have already determined the
string's length with strlen(3) in order to allocate that buffer.

Thread: https://marc.info/?l=openbsd-tech&m=164687525802691&w=2

ok dtucker@ millert@

Document membar_enter_after_atomic and membar_exit_before_atomic.
OK kettenis@

Hrvoje has hit a crash with IPsec acquire while testing the parallel
IP forwarding diff.  Add mutex and refcount to make memory management
of struct ipsec_acquire MP safe.
testing Hrvoje Popovski; input sashan@; OK mvs@

Revert previous commit.  It breaks the serial console on my rpi4.

Relax the check of x509_constraints_dirname()

The dirname constraint must be a prefix in DER format, so relax the
check from requiring equal-length strings to allow shorter names also.

From Alex Wilson

ok jsing

Add x509_constraints_validate() to x509_internal.h

From Alex Wilson

ok jsing

Check name constraints using the proper API

The previous versions were too strict and disallowed leading dots.

From Alex Wilson

ok jsing

style tweak

Add missing error check after strdup()

From Alex Wilson

ok jsing

parse_packet() is used by unbound to parse response packets, not
queries. There is no need to do all this work just to get access to
the query id and flags.

OK bket, sthen

Remove free_cont from asn1_d2i_ex_primitive()/asn1_ex_c2i().

The constructed ASN.1 handling in asn1_d2i_ex_primitive() and asn1_ex_c2i()
currently has code to potentially avoid a malloc/memcpy - this is a less
common code path and it introduces a bunch of complexity for minimal gain.
In particular, we're manually adding a trailing NUL when ASN1_STRING_set()
would already do that for us, plus we currently manually free() the data on
an ASN1_STRING, rather than using freezero().

ok inoguchi@ tb@

better without warnings

Now that fdisk(8) retains the EFI System Partition on Apple systems, skip
formatting the partition such that its contents actually survive.

ok krw@

show the realname in verbose mode for tieing.
if we're "fixing" a partial-* package, we want to see exactly what filename
we're tieing up to, concretely, not the "theoretic" filename

Constify struct cfattach.

ok miod@

make those checks less chatty... once the file is not there, we don't need
to say anything more

Missing 'or'.

Pointed out by jmc@

Constify struct cfattach.

ok miod@

Enable vlan promisc and header stripping, and use vlan rx/tx offloads.
The vlan tx information takes up an extra slot on the tx ring, so this
affects the point at which we stop putting packets on the ring too.

ok dlg@

Constify struct cfattach.

ok miod@

Constify struct cfattach.

ok miod@

Transmit segmented packets using multiple tx ring slots rather than
defragging them first.

ok dlg@

Constify struct cfattach.

ok patrick@

Probe for DNS64 presence with an absolute name so that asr doesn't add
search domains and retry.

Factor out change cipher spec handing code in the legacy stack.

Factor out the code that handles the processing of a change cipher spec
message that has been read in the legacy stack, deduplicating code in the
DTLS stack.

ok inoguchi@ tb@

Uncompress some one line comments to reduce the difference with NetBSD.

No functionnal change.

document MODPERL_REGEN_PPPORT

Unfortunately some last-minute changes were made to the AIC2 device tree
bindings before it was accepted in Linux.  But handling both the
preliminary and (hopefully) final bindings can be done in a fairly clean
way.

ok jsg@

Revert holding a read lock on the map while copying out data during sysctl(2).

This introduced a lock ordering issue reported by naddy@, anton@ and syzkaller.

Reported-by: syzbot+739bb901045d9b193bde@syzkaller.appspotmail.com

Constify struct cfattach, not struct cfdriver

Simple hack to preserve the EFI System partition when
auto-allocating the space on a disk whose GPT contains
any of the magic Apple partitions.

One step towards saving the firmware files on Apple
M1 machines when installing OpenBSD.

Tested & ok kettenis@

Hold a read lock on the map while copying out data during a sysctl(2) call
to prevent another thread from unmapping the memory and triggering
an assertion or even corrupting random physical memory pages.

This fix is similar to the change in uvm_glue.c rev. 1.74.  However in this
case we need to be careful since some sysctl(2) calls look at the map of
the current process.  In those cases we must not attempt to lock the map
again.

ok mpi@

Should fix:
Reported-by: syzbot+be89fe83d6c004fcb412@syzkaller.appspotmail.com

Declare membar_datadep_consumer() inline to fix build on sparc64.

Constify struct cfattach.

Fix formatting of cond_signal().

remove reference to gcu(4) which is only used by em(4) on Intel EP80579

Fix receive filter handling.  Update the unicast mac address in the filter
when bringing the interface up, so it's possible to change it with
ifconfig.  Rearrange multicast handling so IFF_ALLMULTI is set correctly
and multicast ranges don't trigger promisc mode.  Perhaps most importantly,
set RPF_MCAST_FILTER_EN to 0 when we don't want all multicast traffic -
we use mac address filters to receive specific multicast groups, and the
multicast filter is programmed to accept all multicast traffic.

based on a diff from Brad
ok dlg@

Fix wxneeded elf section name, use markup

OK espie

Revert part of rev 1.293. Using cursig() to deliver masked signals
to the debugger can cause a loop between the debugger and cursig()
if the signal is masked. cursig() has no way to know which signal
was already delivered to the debugger and so it delivers the same
signal over and over again.

Instead handle traps to masked signals directly in trapsignal. This
is what rev 1.293 was mostly about. If SIGTRAP was masked by the
process breakpoints no longer worked since the signal deliver to
the debugger did not happen. Doing this case in trapsignal solves
both the problem with the loop and the delivery of masked traps.

Problem reported and fix tested by matthieu@
OK kettenis@ mpi@

Fix overflow protection check in the poll loop. The check needs to happen
at the start of the loop and with i >= NPFDS.
Reported by Martin Vahlensieck (openbsd (at) academicsolutions.ch)
OK tb@

Revert previous commit.  The problem it was attempting to fix was already
fixed by tb@ in rev 1.20.  Spotted by tb@

regen

fix previous

Check for underflow as well as overflow when scaling negative numbers.
ok millert@

Enable PL011 UART FIF0 support in pluart(4). The FIFO depth depends on
the revision and ranges from 16 to 32 bytes.

Special treatment of Server Base System Architecture (SBSA) generic UART
devices is required as presence of the interrupt trigger level register
is not guaranteed. Therefore treat such devices of having a 1-byte FIFO.

With help from kettenis@ and ok visa@

Downgrade RISCV ABI mismatch error to a warning

This lets lld link code with object files created with ld -b binary,
as used by several ports (mupdf, postgresql-pllua, various games).
Upstream report with an unfinished diff: https://reviews.llvm.org/D106378

ok kettenis@

KASSERT should not contain memory barriers as they change behavior.
Read the integer values without atomic operations.
OK kettenis@

Use atomic load and store functions to access refcnt and wait
variables.  Although not necessary everywhere, using atomic functions
exclusively for variables marked as atomic is clearer.
OK mvs@ visa@

Forgot makefile for atomic_load_int.9 in previous commit.

Provide atomic load and store functions for int and long.  FreeBSD
also uses these names.  This implements a complete interface for
atomic operations, such functions can be used for every access.
They provide compiler barriers, but no CPU memory barriers.  This
is consistent with our other atomic operations.
OK mvs@ visa@

Invalidate the nic's rx descriptor cache when taking the interface up
or down, and turn off the global tx and rx enables when going down.
Without this, the nic can write to mbufs that were taken off the ring
when the interface was taken down, triggering mbuf cluster pool use
after free checks.

ok dlg@

Do not clear the PG_BUSY flag before passing the anon to uvm_anon_release().

Should prevent a KASSERT() from tiggering when freeing an anon after swaping-out
its memory.

This code path has been broken since at least January 2021 and is apparently not
so easy to trigger.

Found the hard way by sthen@

ok kettenis@, kn@

Add support for Sunrisepoint-H and Sunrisepoint-LP platforms.

Also mask unhandled interrupts like we do in amdgpio(4).

ok kettenis@, deraadt@

Add mtw(4) to fw_update(8).

ok jsg@

Inform fw_update(8) about mtw(4) pattern.

ok jsg@

Simple regress for NULL deref reported by Guido Vranken and fixed in
bn_exp2.c r1.13.

authentcation -> authentication

tansformed -> transformed

immediatly -> immediately