Rename buf_len into partial_len in EVP_CIPHER_CTX

suggested by jsing

Clean up EVP_DecryptFinal_ex()

Rework the code to use the usual variable names, return early if we
have block size 1 and unindent the remainder of the code for block
sizes 8 and 16. Rework the padding check to be less acrobatic and
copy the remainder of the plain text into out using memcpy() rather
than a for loop.

input/ok jsing

Clean up EVP_EncryptFinal_ex()

This switches to the variable names used in other functions, adds a
reminder to add a missing length check and uses memset for the padding.

ok jsing

Simplify EVP_DecryptUpdate() a bit

This time the block size is called b and there's some awful length
fiddling with fix_len, which until recently also served as store
for the return value for do_cipher()...

If we land on a block boundary, we keep the last block decrypted and
don't count it as part of the output. So in the next call we need to
feed it back in. Feeding it back in counts as output written this time
around, so instead of remembering that we need to adjust outl, keep a
tally of the bytes written. This way we can also do some overflow and
underflow checking.

ok jsing

Remove commented out version of EVP_SealUpdate()

Remove preprocessor mess in EVP_PKEY_{de,en}crypt_old()

This was done the worst possible way. It would be much simpler to invert
the logic and use a single #ifdef. jsing prefers keeping the current
logic and suggested we ditch the preprocessor mess altogether.

ok jsing, claudio agreed with the initial diff

vio(4): checksum offloading for TCP/UDP in IPv6 Packets

ok sf@

Remove iwx_wait_tx_queues_empty(); unused with current firmware versions

Current firmware supplies a flush-command response which makes it
unnecessary to poll for empty queues after sending the flush command.

Based on a patch by Mikhail Pchelin

Ensure that iwm/iwx devices announce VHT capabilities in probe requests.

The previous code did not update the per-band-data length field,
resulting in firmware skipping the VHT information element in the
probe-request frame template.

Patch by Mikhail Pchelin

Remove a changelog from 1991

DES_random_key() sets the key

There's no need to have 60 lines of license for 4 lines of actual code.
Move DES_random_key() to set_key.c.

Remove commented-out code

btrace: "too long line" -> "line too long"

ok claudio@

Don't unset the SA tag set by ipsec_sa_tag in ipsec_sa_iface.
Fixes SA tagging and a possible leak.

from markus@

spelling; ok markus@

Release inpcb mutex while calling sbwait().

As sbwait() may sleep, holding any mutex is not allowed.  Call
pru_unlock() before sbwait() in soreceive().

Bug spotted by sashan@; OK sashan@ mvs@

Initialize `sc_outputtask' before interface attachment. if_alloc_sadl()
has sleep point, so the uninitialized `sc_outputtask` could be accessed
through ioctl(2) interface.

ok sashan bluhm

static binary setting a table, or dynamic binary trying to do what
ld.so already did, will both be EPERM

include KTRFAC_PINSYSCALL in the ktrace options

whitespaces

add a malloc type for pinsyscall arrays

Move constraints files to the etc set

These are config files and once modified they should not be overwritten
if they have local changes.

ok deraadt job

Show the RTR protocol version in the `bgpctl show rtr` output.

Knowing the version is essential to understand if ASPA PDUs are included
or not.
OK tb@

Add markers

OK tb@

- new sentence, new line
- zap an unused Pp

A small cleanup of malloc_bytes(), getting rid of a goto and a tiny
bit of optimization; ok tb@ asou@

sync

the 4th argument of pinsyscalls() is now "number of pin elements",
not "size of the storage of the pin elements"

sort -C, and add to usage(); ok djm

pinsyscalls(2) has changed a little bit, and I can provide more advice
for how it is used (in ld.so, it's not like anyone else can call it).
Also document the errors..

correct section numbers; from Ed Maste

correct alignment placement

soreceive() must not hold mutex when calling sblock().

In my recent commit I missed that sblock() may sleep while soreceive()
holds the incpb mutex.  Call pru_lock() after sblock().

Reported-by: syzbot+f79c896ec019553655a0@syzkaller.appspotmail.com
Reported-by: syzbot+08b6f1102e429b2d4f84@syzkaller.appspotmail.com
OK mvs@

Rephrase some warnings related to Manifests

Feedback from Tom Harrison (APNIC)

with and OK tb@

cmac: use block_size rather than bl

This is purely mechanical apart from a single line wrap.

correct section the SYS_kbind syscall pin record goes into
noticed by gnezdo

Add a family argument to host(). This allows us to force a specific address
family for source-address, which must be in line with the destination
address.

OK jca@

Fix copy-paste error for setting source-address in trap receiver.

OK jca@

match flag type (s/int/u_int)

regress test for agent PKCS#11-backed certificates

regress test for constrained PKCS#11 keys

openssh-9.6

ssh-agent: record failed session-bind attempts

Record failed attempts to session-bind a connection and refuse signing
operations on that connection henceforth.

Prevents a future situation where we add a new hostkey type that is not
recognised by an older ssh-agent, that consequently causes session-bind
to fail (this situation is only likely to arise when people mix ssh(1)
and ssh-agent(1) of different versions on the same host). Previously,
after such a failure the agent socket would be considered unbound and
not subject to restriction.

Spotted by Jann Horn

ban user/hostnames with most shell metacharacters

This makes ssh(1) refuse user or host names provided on the
commandline that contain most shell metacharacters.

Some programs that invoke ssh(1) using untrusted data do not filter
metacharacters in arguments they supply. This could create
interactions with user-specified ProxyCommand and other directives
that allow shell injection attacks to occur.

It's a mistake to invoke ssh(1) with arbitrary untrusted arguments,
but getting this stuff right can be tricky, so this should prevent
most obvious ways of creating risky situations. It however is not
and cannot be perfect: ssh(1) has no practical way of interpreting
what shell quoting rules are in use and how they interact with the
user's specified ProxyCommand.

To allow configurations that use strange user or hostnames to
continue to work, this strictness is applied only to names coming
from the commandline. Names specified using User or Hostname
directives in ssh_config(5) are not affected.

feedback/ok millert@ markus@ dtucker@ deraadt@

stricter handling of channel window limits

This makes ssh/sshd more strict in handling non-compliant peers that
send more data than the advertised channel window allows. Previously
the additional data would be silently discarded. This change will
cause ssh/sshd to terminate the connection if the channel window is
exceeded by more than a small grace allowance.

ok markus@

Make it possible to load certs from PKCS#11 tokens

Adds a protocol extension to allow grafting certificates supplied by
ssh-add to keys loaded from PKCS#11 tokens in the agent.

feedback/ok markus@

apply destination constraints to all p11 keys

Previously applied only to the first key returned from each token.

ok markus@

add "ext-info-in-auth@openssh.com" extension

This adds another transport protocol extension to allow a sshd to send
SSH2_MSG_EXT_INFO during user authentication, after the server has
learned the username that is being logged in to.

This lets sshd to update the acceptable signature algoritms for public
key authentication, and allows these to be varied via sshd_config(5)
"Match" directives, which are evaluated after the server learns the
username being authenticated.

Full details in the PROTOCOL file

implement "strict key exchange" in ssh and sshd

This adds a protocol extension to improve the integrity of the SSH
transport protocol, particular in and around the initial key exchange
(KEX) phase.

Full details of the extension are in the PROTOCOL file.

with markus@

Fix race between ifconfig destroy and ARP timer.

After if_detach() has called if_remove(), if_get() will return NULL.
Before if_detach() grabs the net lock, ARP timer can still run.  In
this case arptfree() should just return, instead of triggering an
assertion because ifp is NULL.  The ARP route will be deleted later
when in_ifdetach() calls in_purgeaddr().

OK kn@ mvs@ claudio@

Check if calloc calls succeeded; ok millert@

Clean up EVP_PBE_CipherInit() a little

This is mostly stylistic cleanup, making the control flow a bit more
obvious. There's one user-visible change: we no longer go out of our
way to provide info about the unknown algorithm. The nid is enough.

ok joshua jsing

Run bind(2) system call in parallel.

For protocols that care about locking, use the shared net lock to
call sobind().  Use the per socket rwlock together with shared net
lock.  This affects protocols UDP, raw IP, and divert.  Move the
inpcb mutex locking into soreceive(), it is only used there.  Add
a comment to describe the current inmplementation of inpcb locking.

OK mvs@ sashan@

bump version

Fix two memory leaks:
- MIB_snmpInReadOnlys was tried to be registered twice, leading to a leak
  of the second instance. Prevent this mistake in the future by making a
  double registration fatal.
- The response buffer is owned by the backend, so the backend must also
  free it.

OK tb@

Remove EVP_MD_meth_*() dependency

This broken API was added for Erlang's otp-test-engine which was disabled
for LibreSSL without explanation shortly afterward. So we can remove this
hazard again.

Unfortunately, libfido2 started using EVP_MD_meth_dup(), but for no good
reason: they dup static data into a buffer that is passed unmodified to
EVP_PKEY_CTX_set_signature_md() only to be freed right after. This makes
no sense.

Rework this and the ifdefery to make it clear that it is OpenSSL who broke
API contracts (again), not LibreSSL.

ok djm jsing

c2sp: replace openssl 3.0 with 3.2 support

Make `fuse_rd_filtops' mpsafe.

Introduce `fd_lock' rwlock(9) and use it for `fd_fbufs_in' fuse buffers
queue and `fd_rklist' knotes list protection.

Tested by Rafael Sadowski.

Discussed with and ok from bluhm

Rework pflowioctl() lock dances.

Release netlock and take `sc_lock' rwlock(9) just in the beginning of
pflowioctl() and do corresponding operations in the end. Use `sc_lock'
to protect `sc_dying'.

We need to release netlock not only to keep locks order with `sc_lock'
rwlock(9), but also because pflowioctl() calls some operations like
socreate() or soclose() on udp(4) socket. Current implementation has
many relocking places which breaks atomicy, so merge them into one.

The `sc_lock' rwlock(9) is taken during all pflowioctl() call, so
`sc_dying' atomicy is not broken.

Not the ideal solution, but better then we have now.

Tested by Hrvoje Popovski.

Discussed with and ok from sashan

ASN1_STRING_TABLE_get.3: grammar: have -> has

EVP_EncryptUpdate(): make block_size and block_mask const

suggested by millert

First cleanup pass over EVP_EncryptUpdate()

Use more sensible variable names in order to make the logic a bit easier
to follow. The variables may be renamed in a later pass. Unindent a block
that was squeezed too much to the right and make a few minor stylistic
tweaks.

ok jsing

Move EVP_PBE_find() next to the tables

There is no point in having EVP_PBE_CipherInit() between the table and
the lookup functions (which it notably uses).

No code change.

Remove OBJ_bsearch_() usage from PBE

Split the table of built-in password based encryption algorithms into two
and use a linear scan over the table corresponding to the type specified
in EVP_PBE_find()'s type argument. Use better variable names, make the
API a bit safer and generally reduce the eye bleed in here.

ok jsing

Using two different spellings of NULL in the same line is an achievement

Annotate incorrect value for ub_email_address

The ub_email_address upper bound, 128, returned for NID_pkcs9_emailAddress,
doesn't match the PKCS#9 specification where it is 255.  This was adjusted
in RFC 5280:

   The ASN.1 modules in Appendix A are unchanged from RFC 3280, except
   that ub-emailaddress-length was changed from 128 to 255 in order to
   align with PKCS #9 [RFC2985].

Nobody seems to have noticed so far, so leave it at an XXX and a BUGS
entry for now. It also clearly has the wrong name.

Another mystery is why the RFCs suffix some upper bounds with length, but
not others. Also, OpenSSL chose to be inconsistent with that, because
inconsistency is one of the few things this library is really good at.

Neuter the ASN1_STRING_TABLE modification API

This is complete nonsense that nothing's ever used except for a test by
schwarze. It will be removed in the next major bump. What remains could
be moved to a simple lookup table in security/xca...

ok jsing

Remove call to ASN1_STRING_TABLE_cleanup()

In a few minutes, the string table will no longer have anything to clean
up and ASN1_STRING_TABLE_cleanup() will push an error on the stack. So
remove this pointless call in the still too complicated OPENSSL_cleanup().

ok jsing

asn1.h: mark a type and a bunch of macros for removal

ok jsing

sync

Rename ASN1_STRING_TABLE_add manual to _get

Remove ASN1_STRING_TABLE_{add,cleanup}() documentation

The unused ASN1_STRING_TABLE extensibility API will be removed in the next
major bump and the table itself will become immutable. Lightly adjust the
remaining text. In particular, update the RFC reference, stop talking about
defaults when nothing can be changed anymore, do not mention useless flags
that you will no longer be able to set and move the description of the only
remaining flag after the description of ASN1_STRING_TABLE_get().

The file will be renamed in a second step.

Implement and use a do_cipher() wrapper

Instead of using five different idioms for eight callers of the do_cipher()
method in EVP_{Decrypt,Encrypt}{Update,Final_ex}(), wrap the API insanity
in an evp_cipher() function that calls do_cipher() as appropriate depending
on the EVP_CIPH_FLAG_CUSTOM_CIPHER being set or not. This wrapper has the
usual OpenSSL calling conventions.

There is one complication in EVP_EncryptUpdate() in the case a previous
call wrote only a partial buffer. In that case, the evp_cipher() call is
made twice and the lengths have to be added. Add overflow checks and only
set outl (the number of bytes written) to out on success.

ok jsing

Fix phdr name in ld.script.

ok deraadt@

Remove the string_table test

If it wasn't for security/xca, all of the ASN1_STRING_TABLE API would
hit the attic before long. API design by a trained professional...

The table can at least be made immutable, which in turn makes this test
entirely pointless.

Remove strings.h again

The portable compat shim doesn't provide it.

Run non-daemons services in a different process group to avoid SIGHUP at boot

12 factors apps and similar don't daemonize and are thus vulnerable to
receiving a SIGHUP signal at the end of /etc/rc.  Shield them by running
them in a different process group.  Do this only for services that need
rc_bg=Yes, as suggested by ajacoutot@

There have been several reports about this issue in the past years, the
last one being from edd@ who successfully tested this fix.  Input from
several folks, ok sthen@ ajacoutot@

Drop no-longer-applicable comment.

provide the pieces for ktrace/kdump to observe pinsyscall violations.
(not used yet, because the pinsyscall changes are still being worked on)
ok kettenis

Remove EVP_PBE_cleanup() from EVP_cleanup()

It's a noop and will be removed in the next major bump.

ok jsing

Move all the neutered PBE API to the bottom of the file

Remove unprotected global state from EVP_PBE

Nobody adds a custom password-based encryption algorithm, be it a PRF or
one that can be an outermost AlgorithmIdentifier in CMS or its precursors.
This makes the undocumented and unused EVP_PBE_alg_add{,_type}() always
fail. They will be removed in the next major bump.

Thus, we no longer need to maintain a global stack of PBE algorithms that
one thread can happily modify while another one searches it.

In subsequent steps we can then remove another rather pointless use of
OBJ_bsearch_(). "Let's optimize the lookup in a table with two dozen
entries using about as many glorious layers of obfuscating macros."

ok jsing

Fix a return value confusion in chacha20_poly1305_cipher()

On overlong input, chacha20_poly1305_cipher() would return 0, which in
EVP_CipherUpdate() and EVP_CipherFinal() signals success with no data
written since EVP_CIPH_FLAG_CUSTOM_CIPHER is set. In order to signal an
error, we need to return -1. Obviously.

ok jsing

Disallow ciphers with EVP_CIPH_FLAG_CUSTOM_CIPHER in CMAC

These are usually AEAD ciphers, for which CMAC makes little sense (if you
need a MAC and all you have is an AEAD, you don't need CMAC, you can just
use a zero length cipher text). Also, since the CMAC implementation only
allows 64 and 128 bit block sizes, the AEADs would error out later anyway.

The only family of ciphers this effectively excludes is AES key wrap, for
which CMAC makes little sense.

One notable side effect of doing this is that the EVP_Cipher() return
value checks in the CMAC code magically become correct. EVP. What's not to
love about it.

ok jsing

Document EVP_Cipher() in code

EVP_Cipher() is an implementation detail of EVP_Cipher{Update,Final}().
Behavior depends on EVP_CIPH_FLAG_CUSTOM_CIPHER being set on ctx->cipher.

If the flag is set, do_cipher() operates in update mode if in != NULL and
in final mode if in == NULL. It returns the number of bytes written to out
(which may be 0) or -1 on error.

If the flag is not set, do_cipher() assumes properly aligned data and that
padding is handled correctly by the caller. Most do_cipher() methods will
silently produce garbage and succeed. Returns 1 on success, 0 on error.

ok jsing

Move EVP_Cipher() from evp_lib.c to evp_enc.c

EVP_Cipher() is a dangerous thin wrapper of the do_cipher() method set on
the EVP_CIPHER_CTX's cipher. It implements (part of) the update and final
step of the EVP_Cipher* API. Its behavior is nuts and will be documented
in a comment in a subsequent commit. schwarze has a manpage diff that will
fix the incorrect documentation.

No interactive shell if -o is given

After r1.140 and r1.144 fixed -o '' and clenaed up option handling,
respectively, avoid the "ftp> " shell if any output file was specified.

OK millert

Sync limits with octeon.

Clean up includes

Neuter EVP_PKEY_asn1_add{0,_alias}()

Nothing uses these, so they will be removed in the next bump. For now
make them always fail and remove the unprotected global state backing
them. This makes EVP_PKEY_asn1_get{0,_count}() completely trivial and
will allow some further cleanup in later steps.

ok jsing

For amd64 cdXX.iso and installXX.iso, create an EFI system partition image
containing the EFI boot loaders and install it as an El Torito boot image,
making the install CDs bootable in EFI mode.

"looks great" deraadt@
ok mlarkin@

Hoist OBJ_sn2nid() over OBJ_ln2nid()

In all other places, the short name comes before the long name, so fix
the only exception.

Coverity rightly points out that an unsigned int is always >= 0

Use inpcb table mutex to set addresses.

Protect all remaining write access to inp_faddr and inp_laddr with
inpcb table mutex.  Document inpcb locking for foreign and local
address and port and routing table id.  Reading will be made MP
safe by adding per socket rw-locks in a next step.

OK sashan@ mvs@

OBJ_create: sorry Omar, aobj is a better name than op

Done.

OBJ_create: use a nid variable to avoid nested function call

OBJ_create: malloc() -> calloc()

OBJ_create: test and assign as usual

OBJ_create: initialize buf and turn function into single exit

OBJ_create: rename ok to ret and make it last declaration