Plug leaks in ASN1_TIME_set_string_internal()

This API can be called with s == NULL, in which case the tm_to_*()
functions helpfully allocate a new s and then leak. This is a rather
ugly fix to make portable ASAN regress happy again, the better fix
will be to rewrite the tm_to_*() functions and adjust their callers.
That is more intrusive and will be done in a later pass.

ok bcook jsing

Hide public symbols in x509.h

This picks up most of the remaining public symbols in
x509.h

ok tb@

Hide public symbols in evp.h

largely mechanically done by the guentherizer 9000

ok tb@

Rename EVP_aes_XXX_cfb to EVP_aes_XXX_cfb128.

For consitency with everything else.

ok tb@

Don't include net/art.h in net/rtable.h instead let the two users
include the file themselves.
OK bluhm@ mpi@

Limit the number of provider ASnumbers to MAX_ASPA_SPAS_COUNT (10'000)
in the parser as well.

OK tb@

Increase RTR PDU limit to 48k and limit number of SPAS to 10'000.

PDU larger then 48k will result in a session reset while ASPA records
with more than 10'000 entries will be implicitly withdrawn.

Also truncate RTR error PDUs to only include 256 bytes of the faulty PDU.
It makes no sense to include more to identify the issue.
OK tb@

Check that the ASPA tas array fits in an IMSG before sending the ASPA
record over to RTR or the RDE.

The long term goal is to increase the IMSG size considerably but that
requires some additional API changes to the imsg API.
OK tb@

reduce diff to linux

Remove the "cubie" miniroot.  There are far more popular armv7 boards
with Allwinner SoCs and the presence of this particular miniroot is making
it hard to update U-Boot.

ok jsg@

Plug route leak in IP output.

If no struct route is passed to ip_output() or ip6_output(), it
uses its own iproute on the stack.  In that case any route entry
in the local route cache has to be freed.  After pf decides to
reroute, struct route is reset to NULL.  Then the route reference
counter has to be released.  Call rtfree() without needless NULL
check.

OK mvs@

Add a capability enforcement integration test.

This should ensure that no / yes and enforce work the way we want.

Add capability announce enforcement test and fixup some other result files
since the role capability is now shown in more cases.

Allow operators to enforce the presence of certain capabilities on sessions.

For simple capabilities this just adds enforce to the yes/no option of the
announce statement. For multi-protocol capabilities and add-path there is
an extra keyword. On top of this for add-path the enforcement requires the
neighbor to send a matching capability, e.g
'announce add-path recv enforce' requires the other side to send any
'announce add-path send XYZ' capability.

This is mainly to enforce as-4byte and extra multi-protocol capabilities.

OK denis@ tb@

Clean up Symbols.namespace

These did not get removed from here when they got removed
from Symbols.list after a major bump.

ok tb@

regen

more Intel DG2 graphics ids

from ark.intel.com and github.com/intel/compute-runtime

drm/i915: ATS-M device ID update

From Haridhar Kalvala
5032c607e886e0c40749a05d37b835c1757d38ff in mainline linux

drm/i915: Add new PCI IDs to DG2 platform in driver

From Ravi Kumar Vodapalli
in drm-intel-next

drm/i915: Add new DG2 PCI IDs

From Shekhar Chauhan
d0c908d2978e0ef3c1ac1357c1c58224a153f8d4 in mainline linux

Remove notBefore and notAfter cacheing.

This cache was added because our time conversion used timegm()
and gmtime() which aren't very cheap. These calls were noticably
expensive when profiling things like rpki-client which do many
X.509 validations.

Now that we convert times using julien seconds from the unix
epoch, BoringSSL style, instead of a julien days from a
Byzantine date, we no longer use timegm() and gmtime().

Since the julien seconds calculaitons are cheap for conversion,
we don't need to bother caching this, it doesn't have a noticable
performance impact.

While we are at this correct a bug where
x509_verify_asn1_time_to_time_t was not NULL safe.

Tested for performance regressions by tb@ and job@

ok tb@ job@

Remove spaces before tabs

Stop redeclaring ENTRY, the <machine/asm.h> flavour is as good as we need it.
While there, replace inlined NENTRY by actual use of that macro.

ok kettenis@

Fix misplaced END() macro.

ok kettenis@

Remove unused tf_fault and tf_kstack members from struct trapframe. These
fields were (seldom) written to but never used for anything.

ok kettenis@

Remove demap code for MMU miss faults.

This code was #if 0, except for instruction misses where it had been enabled
probably by mistake... and was demapping in the data mmu anyway...
(#include <facepalm.h>)

ok kettenis@

There is too much #ifdef DEBUG stuff cluttering locore, really. While some of
it had sense in the early days of the sparc64 port, this code has bitrotten
and is getting in the way. Time for a visit to the Attic.

This removes:
- interrupt handling debug code (forcing hz = 1, probably broken since years).
- unused or too invasive DEBUG code which noone will ever use in this state.
- #if 0 code blocks which have been this way since locore.s revision 1.1 and
  will never get enabled.

ok kettenis@

Introduce more assembler macros to deduplicate code and improve readability:
- one macro for the inline pseg_get logic used in various MMU trap handlers.
- one macro for the TSB locking logic in various PTE update routines.
- one macro for the sun4v rwindow content saving.

ok kettenis@

Remove dead code and data, fix typos, kill wrong comments.

ok kettenis@

Fix cut'n'paste error in data miss handler causing wrong label to be used in
some failure conditions.

Fix sun4v patching of sp_tlb_flush_ctx() to pass flags in the right register.

ok kettenis@

Make ASN1_TIME_set_string_X509 and ASN1_TIME_set_string match the man page

This makes it where people can't put dumb values in certs without
trying harder, and changes the regress to test this.

GENERALIZED times outside of the RFC5280 spec are required for OCSP
but these should be constructed with the GENERALIZED time string
setters.

ok tb@

Fix capping of VAPs

The previous approach introduced a cap, but it might not always be hit as
intended (I missed this on review). Fix this to check the cap after merging
an ASPA into an already existing VAP. Also free the list of providers since
nothing should be looking at it anymore.

Count VAPs that hit the limit with a new overflowed counter. There are
still a few aspects of the accounting that probably aren't entirely right.
This will be fixed at another point. It's just statistics after all.

with/ok claudio, ok job

Call daemon() only in parent and before proc_exec() to avoid orphaning child
processes. Synced from relayd.

ok florian@

Move daemon() after proc_setup() to sync with other proc.c daemons.

Call daemon() only in parent and before proc_exec() to avoid orphaning child
processes. Synced from relayd.

ok mlarkin@ dv@

Call daemon() only in parent and before proc_exec() to avoid orphaning child
processes. Synced from relayd.

ok kn@

more ansi function decls
ok deraadt@

drm: panel-orientation-quirks: Add quirk for GPD Win Mini

From Samuel Dionne-Riel
2f862fdc0fd802e728b6ca96bc78ec3f01bf161e in mainline linux

drm: panel-orientation-quirks: Add quirk for Lenovo Legion Go

From Brenton Simpson
430143b0d3611f4a9c8434319e5e504244749e79 in mainline linux

The RISC-V architecture has cache-coherent DMA... until it doesn't.  This
is indicated by a "dma-noncoherent" property on the bus or device nodes
in the device tree.  Set the BUS_DMA_COHERENT flag on the DMA tag for
mainbus(4) and modify the flags based on the presence of "dma-coherent"
and "dma-noncoherent" properties where appropriate.

ok patrick@

Rework CMS_add_simple_smimecap()

This is an API to add an OID attribute to the set of SMIMECapabilities.
While attributes are complicated in general, this only supports simple
capabilities encoded as an OID with an optional integer parameter (e.g.,
the key size of a cipher).

Make this API transactional, i.e., don't leave a new empty set behind on
failure or leak the key size if setting the parameter on the X509_ALGOR
fails.

Also convert to single exit and add a doc comment with a reference.

ok beck

match another two Alder Lake-N DesignWare I2C ids

Not in the Intel datasheet but are matched by their Windows driver.
ok mglocker@ who tested on Surface Go 4.

regen

another two Alder Lake-N DesignWare I2C ids

Not in the Intel datasheet but are matched by their Windows driver.
Seen on Surface Go 4.

ok mglocker@

Now that we support RISC-V CPUs that have MMUs with memory cachability
attributes, the "direct map" becomes problematic as it results in
mappings for the same physical memory pages with different cachability
addresses.  The RISC-V specification of the "Svpbmt" extension doesn't
outright state that this is "verboten" like on some other
architectures that we support.  But it does say that it may result in
access with the wrong attributes.  So restrict the use of the direct
map to just mapping the 64MB block that the bootloader loaded us into.
To make this possible map the device tree later like we do on arm64.
This allows us to get rid of some assembly code in locore.S as a bonus!

ok miod@, jca@

IP multicast sysctl mrtmfc must not write outside of allocation.

Reading sysctl mrt_sysctl_mfc() allocates memory to be copied back
to user.  Chunks of struct mfcinfo are copied from routing table
to linear heap memory.  If the allocated memory was not a multiple
the struct size, a struct mfcinfo could be copied to a partially
unallocated destination.  Check that the end of the struct is within
the allocation.

From Alfredo Ortega;  OK claudio@

Remove (unused) in-kernel event filtering, it's currently dead code.

All events are currently exported to userland in order to support complex
filters.  If this becomes a bottleneck it should be possible to translate
(some) user-land filters to in-kernel fitlers.

Prodded by a diff from Christian Ludwig to also trace the tracing program.

ok claudio@

Prevent accounting bug when an anon w/ swap slot is passed to uvm_anon_release()

uvm_anon_release() is always called for anon that have an associated page so
decrementing `uvmexp.swpgonly' is incorrect.  This happened because the page
was cleared before calling uvm_anfree().

Reported by many including mvs@, miod@ and robert@

ok kettenis@, miod@

regen

more Alder Lake-N ids

from:
Intel Processor and Intel Core i3 N-Series
Datasheet, Volume 1 of 2, Doc. No.: 759603, Rev.: 001

ANSI functions; ok tb

Don't emit Validated ASPAs for Customer ASIDs with more than MAX_ASPA_PROVIDERS

The number of providers in a single ASPA object already was limited to
MAX_ASPA_PROVIDERS, now also impose a limit on the total number of providers
across multiple ASPA objects. If the MAX_ASPA_PROVIDERS limit is hit, omit
the Customer ASID's entry from OpenBGPD and JSON output.

OK tb@

use inline functions instead of do while(0) for dev_*

avoids unused variable warning on gcc archs with ttm_tt.c rev 1.21
reported by deraadt@

delete msyscall stub

sync

msyscall(2) goes away

noone calls msyscall() anymore.

ld.so should stop calling msyscall(2), since it is fully neutered and
about to be removed.  Please be careful building through this, you need
a kernel at least March 29th or so to build through it, otherwise use
snapshots to cross over.
ok various people

On machines lacking xonly support hardware, we emulate xonly in the
copyin(9) layer below system calls, using a 4-entry lookup; the 4th
entry is libc.so text. We were assuming, or rather insisting, that
on all our architectures libc.so text is treated as xonly, even if
the linker was behind in it's game.
Since msyscall(2) is gone, kernel no longer has information about the
start,len of libc.so text segment.  But we can instead use the (same)
start,len range of pinsyscalls() instead for this purpose.
ld.so is passing the same text-range to the kernel in this position.
regression tests run by anton discovered that libc.so text had become
copyin-readable.
ok kettenis

Esure the base,len range provided by ld.so is definately in the map.
Being outside the map doesn't seem like it can do anything bad.
Discussed with kettenis

Pick newest session as documented, not oldest, from Magnus Gross.

set right mode on ssh-agent at boot-time

which sthen@
ok deraadt@

Remove incorrect function counts

Vincent Lee spotted that I failed to update numbers that count how many
functions are documented here when removing {CRYPTO,OPENSSL}_realloc.
This isn't helpful information and nobody will remember to go look for
such numbers next time this page is adjusted, so remove the counts.

agreement from jmc

drm/amdgpu: fix use-after-free bug

From Vitaly Prosyak
e87e08c94c9541b4e18c4c13f2f605935f512605 in linux-6.6.y/6.6.24
22207fd5c80177b860279653d017474b2812af5e in mainline linux

drm/amd/display: Clear OPTC mem select on disable

From Ilya Bakoulin
2ceddecdd0ef6fe7cdb31ec14ff2e26ed938fa4b in linux-6.6.y/6.6.24
b4e05bb1dec53fe28c3c88425aded824498666e5 in mainline linux

drm/amd/display: Disconnect phantom pipe OPP from OPTC being disabled

From George Shen
6a1cb68b9810f71644eb5d2d663e59083540bada in linux-6.6.y/6.6.24
7bdbfb4e36e34eb788e44f27666bf0a2b3b90803 in mainline linux

drm/amd/display: Fix hang/underflow when transitioning to ODM4:1

From Ilya Bakoulin
ae62f1dde66a6f0eee98defc4c7a346bd5acd239 in linux-6.6.y/6.6.24
e7b2b108cdeab76a7e7324459e50b0c1214c0386 in mainline linux

drm/i915/gt: Reset queue_priority_hint on parking

From Chris Wilson
3b031e4fcb2740988143c303f81f69f18ce86325 in linux-6.6.y/6.6.24
4a3859ea5240365d21f6053ee219bb240d520895 in mainline linux

drm/i915: Do not match JSL in ehl_combo_pll_div_frac_wa_needed()

From Jonathon Hall
07c011e3351da3e5d4633ec1b259457b1626faa4 in linux-6.6.y/6.6.24
e41d769f1a7a1dc533c35ef7b366be3dbf432a1c in mainline linux

drm/i915/dsi: Go back to the previous INIT_OTP/DISPLAY_ON order, mostly

From Ville Syrjala
69fa0e23a6a3b30dc14b731c7e5818375aaa4da6 in linux-6.6.y/6.6.24
18846627ef1210dcd55d65342b055ea97a46ffff in mainline linux

Recommit a better version of the removal of the F5 workaround

Unlike for previous TLS versions, TLSv1.3 servers can send the supported
groups extension to inform a client of the server's preferences. The
intention is that a client can adapt for subsequent commits. We ignore
this info for now, but sthen ran into java-based servers that do this.

Thus, rejecting the extension outright was incorrect. Instead, only allow
the extension in TLSv1.3 encrypted extensions. This way the F5 workaround
is also disabled, but we continue to interoperate with TLSv1.3 servers that
do follow the last paragraph of RFC 8446, section 4.2.7.

This mostly adjusts outdated/misleading comments.

ok jsing sthen

drm/i915/bios: Tolerate devdata==NULL in intel_bios_encoder_supports_dp_dual_mode()

From Ville Syrjala
a891add409e3bc381f4f68c2ce9d953f1865cb1f in linux-6.6.y/6.6.24
32e39bab59934bfd3f37097d4dd85ac5eb0fd549 in mainline linux

drm/i915/hwmon: Fix locking inversion in sysfs getter

From Janusz Krzysztofik
510c5f5e4837cab803c4f594c5f79783ff7b463d in linux-6.6.y/6.6.24
b212b79768ccde74429f872c37618c543fa11333 in mainline linux

drm/amdgpu: fix deadlock while reading mqd from debugfs

From Johannes Weiner
197f6d6987c55860f6eea1c93e4f800c59078874 in linux-6.6.y/6.6.24
8678b1060ae2b75feb60b87e5b75e17374e3c1c5 in mainline linux

drm/amdkfd: fix TLB flush after unmap for GFX9.4.2

From Eric Huang
2684393685f7f3e264a55d4b55282e780bc2376d in linux-6.6.y/6.6.24
1210e2f1033dc56b666c9f6dfb761a2d3f9f5d6c in mainline linux

Revert "drm/amd/display: Fix sending VSC (+ colorimetry) packets for DP/eDP displays without PSR"

From Harry Wentland
78516979792d4bf890e1df24c7f425ebe920ad29 in linux-6.6.y/6.6.24
78aca9ee5e012e130dbfbd7191bc2302b0cf3b37 in mainline linux

drm/amd/display: handle range offsets in VRR ranges

From Alex Deucher
23b99c7bf6ecf643a4a37bd98eeae81323aef6f8 in linux-6.6.y/6.6.24
937844d661354bf142dc1c621396fdab10ecbacc in mainline linux

drm/i915: Don't explode when the dig port we don't have an AUX CH

From Ville Syrjala
e21fee1035b9172fb7dc0e77692df7ebdbfce425 in linux-6.6.y/6.6.24
0b385be4c3ccd5636441923d7cad5eda6b4651cb in mainline linux

drm/i915: Check before removing mm notifier

From Nirmoy Das
a30c36bc0cfc32ec3662408e6a5cdf8a809fde51 in linux-6.6.y/6.6.24
01bb1ae35006e473138c90711bad1a6b614a1823 in mainline linux

drm/amdgpu/pm: Fix the error of pwm1_enable setting

From Ma Jun
6f3c1dabe8d014ad95b72fc56276d82a6f5e6ab3 in linux-6.6.y/6.6.24
0dafaf659cc463f2db0af92003313a8bc46781cd in mainline linux

drm/amd/display: Use freesync when `DRM_EDID_FEATURE_CONTINUOUS_FREQ` found

From Mario Limonciello
95232806972adab87d6979256df37f5ceb1ad561 in linux-6.6.y/6.6.24
2f14c0c8cae8e9e3b603a3f91909baba66540027 in mainline linux

drm/bridge: add ->edid_read hook and drm_bridge_edid_read()

From Jani Nikula
2b6aaf7b193be2bfa4e1af90c0d96e78a80aef69 in linux-6.6.y/6.6.24
d807ad80d811ba0c22adfd871e2a46491f80d6e2 in mainline linux

drm/ttm: Make sure the mapped tt pages are decrypted when needed

From Zack Rusin
de125efb3bae7720d10364a9ab6785466e4e2461 in linux-6.6.y/6.6.24
71ce046327cfd3aef3f93d1c44e091395eb03f8f in mainline linux

drm/amd/display: Fix noise issue on HDMI AV mute

From Leo Ma
066bbc4306445f16e529a13a6e8d05ec6074416e in linux-6.6.y/6.6.24
69e3be6893a7e668660b05a966bead82bbddb01d in mainline linux

drm/amd/display: Return the correct HDCP error code

From Rodrigo Siqueira
c7c855fd3d5af01496aaa8be93a1e9811166cf11 in linux-6.6.y/6.6.24
e64b3f55e458ce7e2087a0051f47edabf74545e7 in mainline linux

drm/amdgpu: amdgpu_ttm_gart_bind set gtt bound flag

From Philip Yang
6fcd12cb90888ef2d8af8d4c04e913252eee4ef3 in linux-6.6.y/6.6.24
6c6064cbe58b43533e3451ad6a8ba9736c109ac3 in mainline linux

drm/panel: do not return negative error codes from drm_panel_get_modes()

From Jani Nikula
a686732df6cecc3561595e6ce7a962a0121eed00 in linux-6.6.y/6.6.24
fc4e97726530241d96dd7db72eb65979217422c9 in mainline linux

drm/probe-helper: warn about negative .get_modes()

From Jani Nikula
12bbe2c25cdb571190d523fd814e7696964a84d9 in linux-6.6.y/6.6.24
7af03e688792293ba33149fb8df619a8dff90e80 in mainline linux

add pgprot_decrypted() for 6.6.24 drm

add cc_platform_has() for 6.6.24 drm

tzset_basic: only call issetugid(2) if TZ has changed
If we are just going to return without parsing TZ, there is no need
to call issetugid(2) first.  We only need to call issetugid(2) the
first time TZ is checked or when the value of TZ has changed.
Previously, we called issetugid(2) for every call to the functions
described by localtime(3).  OK deraadt@

Stopping grabbing the kernel lock in kbind(2).

ok mpi@

Initialize earlier macppc's and powerpc64's pmap_hash_lock

At boot, the powerpc64 kernel was calling
  pmap_bootstrap -> pmap_kenter_pa -> mtx_enter(&pmap_hash_lock)
before it did
  pmap_init -> mtx_init(&pmap_hash_lock, IPL_HIGH)

Change from mtx_init to MUTEX_INITIALIZER.  This allows an option
WITNESS kernel to boot without warning of an uninitialized mutex.

Also change macppc's pmap_hash_lock from __ppc_lock_init to
PPC_LOCK_INITIALIZER, though WITNESS doesn't see this lock.

ok mpi@

pmap_virtual_space() and pmap_steal_memory() are mutually exclusive, so
make sure only one of them is prototyped and only one of them is implemented.
ok mpi@ kettenis@

Reuse the timeout from struct scsi_xfer rather than declaring one in
struct ncr53c9x_ecb.

When the scsi_xfer timeout was introduced *cough* 23 years ago, SCSI drivers
were progressively updated to use this, but for some reason that driver got
missed.

ok dlg@ krw@

Change ipmi(4)'s taskq from IPL_NONE to IPL_MPFLOOR

The IPL_NONE mutex didn't block interrupts that can cause a powerpc64
kernel with option WITNESS to "panic: acquiring blockable sleep lock
with spinlock or critical section held (kernel_lock) &kernel_lock".

ok mpi@

sync

Switch one of the tcpmd5 passwords over to use the hex key instead.
This way both modes are tested.

Rewrite str2key() to not use strtoul() to convert 2 hexdigits into one
char. Instead use a simple function to do the conversion per nibble.
OK deraadt@ tb@