make some more scp-in-SFTP mode better match Unix idioms

suggested by deraadt@

allow log_stderr==2 to prefix log messages with argv[0]

use this to make scp's SFTP mode error messages more scp-like

prompted by and ok deraadt@

dhcpleased(8) does not (yet?) track if routes it added are deleted
behind its back. When a lease gets renewed dhcpleased simply adds all
routes and lets the kernel sort duplicates out.

This however leads to "failed to send route message: File exists"
messages in /var/log/daemon which are confusing. Since this is
expected do not log it as an error.

While here change the error message when proposing nameservers so that
it can be distinguished from failed routes.

Pointed out by deraadt

tcpdump: Fix data alignment issue in WireGuard printer

Access 8-byte nonce as unaligned data to avoid a crash on strict
alignment architectures. With IP and UDP, payload alignment is
guaranteed to 4-byte boundary only.

Reported and tested by Peter J. Philipp

OK deraadt@

Add EXTRACT_LE_64BITS().

OK deraadt@

various improvements:
* use SUDO when needed
* favor paths relative to the btrace regress directory in the expected output
  files, prevents one from being forced to checkout the src tree at /usr/src in
  order to make the tests pass

Fix run-shell -d with no command, GitHub issue 2885.

sync SYNOPSIS and usage(); ok florian

missing space character in ssh -G output broke the t-sshcfgparse
regression test; spotted by anton@

drm/amdgpu/acp: Make PM domain really work

From Kai-Heng Feng
1f60072320b5f8071946e4b765cbf78a34d22a67 in linux 5.10.y/5.10.65
aff890288de2d818e4f83ec40c9315e2d735df07 in mainline linux

bump to LibreSSL 3.4.1

Set the X509 validation depth limit to 12 or double the current depth.
When the limit is reached the object is considered invalid and the tree
traversal stops on that node.
OK beck@ job@

Explain that traceroute compresses * * * lines at the end of the
output when we never reach the destination.
Prompted by & input jmc

Rewrite and simplify dhcpleasectl(8).

With this

dhcpleasectl em0

does the same as

dhclient em0

used to do. To please people's muscle memory one can be aliased to the other.

earlier version OK benno

with lots of help massaging the output & OK deraadt

Add build infrastructure for the libclang_rt.profile library.

Not linking it to the build yet.

"go for it" mortimer@

For the moment, restore if-shell and run-shell to parsing at the last
moment (when the shell command completes) rather than when first
invoked, GitHub issue 2872.

allow CanonicalizePermittedCNAMEs=none in ssh_config; ok markus@

Remove configured routes no longer present in lease.
Problem reported by claudio
OK benno

Improve the uhid(4) manual:
* Include the relevant header in the synopsis
* Document all supported ioctl commands
* Emphasis that a pointer is required to all ioctl commands
* Make the write(2) semantics a bit clearer
* Add files section
* Document errors

ok jmc@

Change the errno to ENOTTY when encountering an unknown ioctl command as
opposed of using EINVAL which is ambiguous in this context.

ok deraadt@

Avoid typedef redefinition

"typedef struct ssl_st SSL;" is defined in ossl_typ.h.
This reverts part of r1.204.

ok tb@

sync

Add missing void to definition of http_init().

ok deraadt florian

Cleanup some style issues and remove some unused code.  In particular,
remove the half-finished code to support the SV48 MMU page table layout.
Currently there is no hardware that supports that model and I don't expect
any hardware that does support it to show up anytime soon.

ok mlarkin@

Cleanup some style issues.

ok mlarkin@

Make pmap_extract() mpsafe by grabbing the kernel lock for userland pmaps
while walking the page tables.

ok deraadt@

Make pmap_extract() mpsafe by grabbing the kernel lock for userland pmaps
while walking the page tables.

ok mpi@, deraadt@

zap trailing white space

Call the info cb on connect/accept exit in TLSv1.3

The p5-Net-SSLeay test expects the info callback to be called on
connect exit. This is the behavior in the legacy stack but wasn't
implemented in the TLSv1.3 stack. With this commit, p5-Net-SSLeay
tests are happy again after the bump.

ok bluhm inoguchi jsing

provide a small manual page for the SSL_set_psk_use_session_callback(3)
stub, written from scratch;
OK tb@ on SSL_set_psk_use_session_callback.3

/usr/bin/timeout should not be in man sets

Merge the stub SSL_SESSION_is_resumable(3) manual page from the
OpenSSL 1.1.1 branch, which is still under a free license.
A few tweaks to wording and structure by me.
OK tb@ on SSL_SESSION_is_resumable.3

As suggested by tb@, merge the description of OPENSSL_EC_NAMED_CURVE
and OPENSSL_EC_EXPLICIT_CURVE
from OpenSSL commit 146ca72c Feb 19 14:35:43 2015 +0000
after tb@ changed the default from 0 to OPENSSL_EC_NAMED_CURVE
in ec/ec_lib.c rev. 1.41,
which is the same default that OpenSSL uses since 1.1.0.

While merging, drop the description of the pre-1.1.0 behaviour.
It seems irrelevant to me because tb@ found no application in Debian
codesearch using OPENSSL_EC_EXPLICIT_CURVE.  A former devious default
that was probably never relied upon by anyone does not need to be
documented.

Sync

Provide instruction cache invalidation through sysarch(RISCV_ICACHE_SYNC)

Modelled after the arm implementation.  The first consumer would be
__builtin___clear_cache() in libcompiler_rt.

Input from kettenis@ and deraadt@, ok kettenis@

Do not download more than 300 deltas to sync a RRDP repo. Somewhere around
300 the time it takes to fetch and process all the deltas is higher than
fetching just a snapshot.
OK job@ sthen@

put back the mux_ctx memleak fix for SSH_CHANNEL_MUX_CLIENT
OK mfriedl@

Fix regression test, prodded by bluhm@

Add missing kernel lock for Bi-directional Forwarding Detection data.

Also bfdset() calls pool_get(9) with PR_WAITOK flag so it should be done
before we check the existence of this `bfd', otherwise it could be added
multiple times.

We have BFD disabled in the default kernel so this diff is for
consistency mostly.

ok mpi@

Enable cy(4) on amd64.

ok deraadt

When the dhcp server is unreachable via unicast UDP retry broadcast.

The only indication we get is sendto(2) failing, so if our UDP packet
is silently dropped somewhere we won't notice.

This has been observed in the wild with a dhcp server at the remote
end of a VPN. The dhcp server is reachable via broadcast so we get an
initial lease. However the server is not in the same subnet as the
lease we are getting so to reach it unicast we depend on a default
route being set. When the VPN goes down we lose the default route [*]
and when dhcpleased then tries to renew the lease (unicast), sendto(2)
fails with "network unreachable".

[*] The exact mechanics on how this happens are unclear. I.e. why
didn't dhcpleased(8) see a link-state change and transitioned to
REBOOTING / INIT? Regardless, we shouldn't ignore sendto(2) errors.

Reported by stsp, OK benno

vmm(4): add limit to number of vcpus

After fixing previous syzbot issues related to lock contention, the reproducer code managed to hit an issue where it can exhaust kernel memory by allocating vcpus. Since each vcpu (regardless if it's SVM or VMX-capable) requires wiring some number of pages of memory, it was possible to starve other parts of the kernel.

This change limits the total number of vcpus to 512, a conservative number given vmm(4) only supports single vcpu guests at the moment.

ok mlarkin@

sync

fix SEE ALSO;

various formatting fixes;

tweak text in previous and fix SEE ALSO;

In X509_check_issued() do the same dance around x509v3_cache_extensions()
as in all other palces. Check the EXFLAG_SET flag first and if not set
grab the CRYPTO_LOCK_X509 before calling x509v3_cache_extensions().
OK tb@ beck@

disk.dk_size can't be 0 as we errx() if that happens during
DISK_open(). So eliminate pointless check when printing geometry.

Replace unit_lookup() with units_size(), reducing four
conversion dances to one. Return pointer to the unit_type used in
the conversion. unit_types[] is now needed only in misc.c.

Fewer variables make for cleaner logic.

No intentional functional change.

sync

no longer needed

add 7.1 syspatch pubkey

Remember to lock user pmap in pmap_extract()

pmap_extract() has to lock user pmap to prevent concurrent pruning
of the page table. The kernel pmap is exempt from this because it uses
a fixed page table structure.

Consistently use unsigned long for CPU masks in pmap.c.

introduce /etc/bsd.re-config which can be used to configure the kernel
using config(8);

the contents of this configuration file will be fed to config(8) after
kernel relinking is done, so on the next boot the new kernel will have
all the configuration changes set by the user

this comes handy if you still want to use KARL while making changes
to the GENERIC kernel

diff from Paul de Weerd with input from several developers

Document that the editing command 'disk' takes an optional units argument.

Enable uaq(4) on amd64.  Investigations into problems on other platforms
are ongoing.

check the installer's /tmp/i/hostname.* files for a configured IP address
so that configurations without a broadcast address are detected as well

ok sthen@

take us out of beta

freebsd history is irrelevant here; pointed ok by and ok deraadt

Stop taking detour through unit_types[SECTORS] to find
dl.d_secsize.

Leave unit_types[SECTORS].ut_conversion at 0, and test that to
determine if a size needs to be converted from a sectors value.

Use consistent dance to find the desired size value to print.

Logic is clearer, unit_types[] is now const, nobody but misc.c
knows about SECTORS.

No intentional functional change.

Default to using named curve parameter encoding

The pre-OpenSSL 1.1.0 default was to use explicit curve parameter
encoding. Most applications want to use named curve parameter encoding
and have to opt into this explicitly.

Stephen Henson changed this default in OpenSSL commit 86f300d3 6 years
ago and provided a new OPENSSL_EC_EXPLICIT_CURVE define to opt back into
the old default.  According to Debian's codesearch, no application
currently does this, which indicates that we currently have a bad default.

In the future it is more likely that applications expect the new
default, so we follow OpenSSL to avoid problems.

Prompted by schwarze who noted that OPENSSL_EC_EXPLICIT_CURVE is missing.

ok beck inoguchi jsing

annotate root only targets; ok bluhm@

hook up libagentx; ok martijn@

Revert recent uhidev report size changes. It's reported to break fido devices
for as of now unknown reasons.

Identify TPM2.0 devices and perform the 2.0-specific "suspend" command
(researched by mlarkin).  With this, and the latest BIOS which added S3,
the lenovo x1r9 and x1nano can resume.
ok kettenis mlarkin

Don't set the highspeed bit on bcm2835-sdhci sdhc(4) controllers.
Same approach as on Linux and NetBSD.  This fixes bwfm(4) Wi-Fi on the
Raspberry Pi 3 Model B Plus.

help and ok kettenis@

merge the description of SSL_get_tlsext_status_type(3)
from the OpenSSL 1.1.1 branch, which is still under a free license

Change the scope of the locking in pmap_extract() to prevent a race between
walking the page tables and another thread calling pmap_remove() that ends
up removing a page table page.

tested by sthen@
ok deraadt@, mpi@

Merge documentation of EC_GROUP_order_bits(3) from the OpenSSL 1.1.1
branch, which is still under a free license.
While here, also merge a few other improvements, mostly regarding
EC_GROUP_get_order(3) and EC_GROUP_get_cofactor(3); in particular,
some statements below RETURN VALUES were outright wrong.
This patch includes a few minor tweaks and an addition to HISTORY by me.
Feedback and OK tb@.

Zero out iwx(4) Tx descriptors of frames which are done.

This will hopefully prevent the device from ever writing to the former
DMA address of a buffer which has been taken off the Tx ring.

As far as I understand, the Linux driver unmaps (parts of) Tx descriptors
that are done. We use a static DMA mapping for the entire descriptor array,
so unmapping is not an option for us.

Tested by several as part of my Tx aggregation support patch.

Fix a bug in iwx(4) Tx done interrupt processing.

Clear the byte-count for the correct frame while taking frames off the ring.
This should fix some 'fatal firmware errors' seen under load, and prevent
memory corruption: The device could access an mbuf we have freed, but which
is still marked as used in the byte count table and which still has a DMA
address in its Tx descriptor. Problem observed by mlarkin with NFS while
testing my patch for Tx aggregation support.

Add BGPSec Router (RFC 8209) Key Purpose OID

OK tb@

Do not ignore SIGINT while waiting for input if editline(3) is not used.
Instead, in non-interactive mode, exit sftp(1), like for other serious errors.
As pointed out by dtucker@, when compiled without editline(3) support in
portable OpenSSH, the el == NULL branch is also used for interactive mode.
In that case, discard the input line and provide a fresh prompt to the user
just like in the case where editline(3) is used.
OK djm@

Merge documentation for BN_bn2binpad(3), BN_bn2lebinpad(3),
and BN_lebin2bn(3) from the OpenSSL 1.1.1 branch,
which is still under a free license.
While here, tweak a number of details for clarity.
OK tb@

when using SFTP protocol, continue transferring files after a
transfer error occurs. This matches original scp/rcp behaviour.
ok dtucker@

Calling OpenSSL_add_all_digests() is no longer needed since the library
automatically initializes itself.  OK tb@

Let iwx(4) resume directly in DVACT_WAKEUP instead of running the init task.

Suggested by deraadt@ during discussion at k2k21.
With additional input from mlarkin. And deraadt spotted some pointless
splnet() calls which this patch is removing.

Resume from S3 tested by me on an x250 thinkpad with a compatible
ax200 wifi card provided by mlarkin. Hibernate tested by deraadt.

Sync comments about the PCI retry timeout workaround with Linux while here.

ok mlarkin@

Stop using NULL as a synonym for "s" (SECTORS). Just use "s".
Remove now pointless NULL check in unit_lookup().

No intentional functional change.

When writing a message, syslogd did a combination of putting
everything into an iov and do some sprintf() formating later.  Better
put everything into the iov upfront based on what the output methods
need.  Then either the full iov is written or a line is created by
concatenating.
OK martijn@

sync

crank major for libcrypto as well

'may as well' deraadt

major bump (same type of crank as libssl)

bump major after symbol addition and struct removal, struct visibility
changes

Update Symbols.list after API additions

Bump minor after symbol addition

Add BN_bn2{,le}binpad(), BN_lebin2bn(), EC_GROUP_order_bits to Symbols.list

ok beck inoguchi jsing

Do fatal/fatalx a different way so the compiler trick to avoid warnings
becomes unnecessary, prompted by theo.

Move SSL_set0_rbio() outside of LIBRESSL_HAS_TLS1_3

ok inoguchi jsing

Expose SSL_get_tlext_status_type() in tls1.h

ok beck jsing

Expose SSL_R_NO_APPLICATION_PROTOCOL in ssl.h

ok beck jsing

Expose SSL_CTRL_GET_TLSEXT_STATUS_REQ_TYPE in ssl.h

ok beck jsing

Expose SSL_CTX_get0_privatekey() in ssl.h

ok beck

Remove TLS1_get_{,client_}version()

ok jsing

Remove SSL3_RECORD and SSL3_BUFFER

with/ok jsing

Remove TLS1_RT_HEARTBEAT

ok jsing

Make SSL opaque

with/ok jsing

Remove struct tls_session_ticket_ext_st and TLS_SESSION_TICKET_EXT
from public visibility.

with/ok jsing

Uncomment LIBRESSL_HAS_{TLS1_3,DTLS1_2} in opensslfeatures.h

Use BN_RAND_* instead of mysterious values in the documentation of
BN_rand_range()

From OpenSSL 1.1.1l

ok beck jsing

Expose EC_GROUP_order_bits() in <openssl/ec.h>

ok beck jsing