NUMBOOT is dead! Nuke the variables and abstractions that were used
to build boot blocks.

ok miod@

Implement -w maxwait now that the -w flag is free in ping6. Same
behaviour as ping(8).

Do no accept fds on the control socket; including the restricted socket.

OK gilles@ eric@

move -V option before -v and remove one spurious newline, now in sync
with ping.
No object change.

KNF

our strip() function should use isspace()

ok jung@, ok millert@

Remove left over -N and -w. Adapt wording for the link local example.
Pointed out by, input & OK jmc

Tighten up snmpd's control socket: do not allow users to terminate the
daemon by sending corrupted imsgs to snmpd.  This is especially
important for the optional world-writeable restricted socket that is
used for AgentX.  In particular, don't fatal() in the daemon when imsg
size checks on control messages fail, do stricter validation of
expected messages (even assert zero-length imsgs), don't continue and
close the control socket on suspicious input, print a debug log
message on error.

OK gilles@ "the rationale behind it is quite clear"

Cleanup a bit.

OK krw@ halex@

add "tty" for several subcommands of openssl

it is needed in order to let libssl UI_* function plays with echo on/off when
asking for password on terminal.

passwd subcommand needs additionnal "wpath cpath" in order to let it calls
fopen("/dev/tty", "w") (O_WRONLY with O_CREAT | O_TRUNC).

problem reported by several
with and ok doug@

The file(1) magic-parsing process was using pledge "stdio getpw proc recvfd"
early on, then a set of getpwnam/setresuid/... before quickly dropping to
"stdio recvfd".  It receives fd's and runs the magic code on them in a
chroot'd "stdio" jail.  We can do better than that.

Before the recent change, "proc" contained both the concepts of "forking"
and "setuid".  "id" is now split out as a seperate request, and it is
exactly what this process needs momentarily.  So this loses another window
of opportunity, in case we have a major bug in .... hmm, it'd have to be
in getpwnam....

ok tedu doug semarie gilles

smtpd starts rather robustly with a gigantic pledge request group (keep
in mind that a gigantic group is already < ~50% of POSIX).  It then
grinds these down bit by bit as it sets up privsep for the various
processes.  At startup, smtpd will need the new "id" request as well.
ok gilles tedu

Add pledge "id" support.  This request permits setuid/seteuid/setresuid,
setgid/setegid/setresgid, setgroups, setlogin, and setpriority.

setrlimit and getpriority are also allowed (they are also in "proc")

some of these were previously permitted in "proc" but have been removed.
this seperation is intentional.  "proc" is intended for reasoning about
the relationship of a process "with other processes", whereas "id" deals
the powerful/dangerous concept of unix ids.  "id" will see some action
very soon.

ok gilles tedu semarie doug

route6d pledges to use only "stdio rpath wpath cpath inet route mcast"

ok deraadt@

Allow a few 'get' ioctls for pledge("route").  route6d will soon use this.

ok deraadt@

don't need fcntl for non blocking socket, just ask for it upfront

Very tricky diff to fix macro interpretation and spacing around tabs
in .Bl -column; it took me more than a day to get this right.
Triggered by a loosely related bug report from tim@.

The lesson for you is:  Use .Ta macros in .Bl -column, avoid tabs,
or you are in for surprises:  The last word before a tab is not
interpreted as a macro (unless there is a blank in between), the
first word after a tab isn't either (unless there is a blank in
between), and a blank after a tab causes a leading blank in the
respective output cell.  Yes, "blank", "tab", "blank tab" and "tab
blank" all have different semantics; if you write code relying on
that, good luck maintaining it afterwards...

Change x_do_ins()'s arg type from int to size_t for correctness's sake,
and to silence a compiler warning. Also remove its prototype, which is
directly above its definition.

ok tedu@

Move the overflow check to alloc() so that the link struct overhead can
never bite us.

Suggested by Theo Buehler, inspired by Bitrig's natano@.

ok tedu@

use daemon(), jca had the same diff in his tree

Also allow 6 as a miblen for NET_RT_DUMP, not all users specify a rtable.

ok deraadt@

pledge "stdio rpath wpath cpath getpw fattr flock"

pledge "stdio rpath wpath cpath fattr proc exec"

pledge "stdio rpath wpath cpath proc exec".

Remove RFC 4620 support. The RFC is experimental and this code plain
needs killing before the installed user base excedes 6. Minus 745 LOC.
This is getting in the way of a merge since it has it's tentacles all
over the place.
OK jca@, deraadt@

increase the minimum modulus that we will send or accept in
diffie-hellman-group-exchange to 2048 bits; ok markus@

Hoist clearing of FIOASYNC to much earlier, then getty can use
pledge "stdio rpath fattr proc exec tty".

Once apropos(1) or man(1) are done with database access, or if the
program was called as mandoc(1) in the first place, remove "flock"
from our pledge(2) before entering the parsers and formatters.
OK millert@ deraadt@

Use SSL_get_version() not SSL_get_cipher_version(); the former gives the TLS
version used for the connection, the latter gives "the SSL/TLS protocol version
that first defined the cipher". Fixes "TLS version=TLSv1/SSLv3" in received/log
lines.

ok millert@ "I was going to commit this today, so yes definitely" ok gilles@

add flock to pledge request, needed by delivery_filename

ok millert@

Unbreak route6d.

Instead of breaking sendmsg(2) by adding unneeded space to its cmsg
item, add space to the cmsg used by recvmsg(2), where it will be used
to get the incoming packet hop limit.

Reported by several over the last years, and more recently by 'bsdsx',
who tested it against NetBSD route6d.  Also works against Quagga ripng.

ok deraadt@ sthen@

save some file descriptors. instead of a pipe, use kevent to watch parent

naddy would like the child to exit when the parent dies.
hook up a pipe between them and watch for eof in the child.

Missing local.

ok schwarze@

No longer talk about -b flag, it's gone.

Drop usage of TMPDIR.
While here, stop refering to /tmp/sysmerge.XXXXXXXXXX, that's a script
internal we don't need to know about.

sync

test mixing of tabs with Ta

Make sched_barrier() use its own task queue to avoid deadlocks.

Prevent a deadlock from occuring when intr_barrier() is called from
a non-primary CPU in the watchdog task, also enqueued on ``systq''.

ok kettenis@

life is simpler if all requests go in the fifo, and then just remove them
in the error case instead of duplicating code.

better handle anchored FQDNs (e.g. 'cvs.openbsd.org.') in hostname
canonicalisation - treat them as already canonical and remove the
trailing '.' before matching ssh_config; ok markus@

deraadt tells me i'm supposed to check if connect() actually worked.

two phase handling for tcp so that slow connects don't stall the process

Cast isspace() argument to unsigned char.

ok jca@

Move -t and -w functionality to -a. Both flags are in the way for a
merge with ping(8). Let's see if we can shove every weird and special v6
functionality into -a.
suggested by and OK sthen@

Modernize allocation by:

 * removing unneeded casts of void* return values
 * replacing varied and creative error messages with the allocation
   function's name
 * replacing errx() with err() so that the errno string is reported

ok beck@, jung@, millert@

Cast iscntrl()'s arg to unsigned char.

ok nicm@

0 -> NULL when comparing with a char*.

ok dtucker@, djm@.

Repair the pty check for kernels without pty support.

Check file sizes only for regular files. The current code breaks savecore
due to its kvm handling.

ok deraadt

Pledge the syslogd privsep process with "stdio rpath wpath cpath
inet dns getpw sendfd proc exec".
OK deraadt@

The hosts.lpd examples file does not contain a single example.
The file format is so simple that no example is needed.
All relevant documentation is already available
from the proper place, which is the lpd(8) manual.
Consequently, delete the empty file.
OK millert@ dcoppa@ beck@ deraadt@

Allow PTMGET with "tty rpath wpath" but restrict only to /dev/ptm by
checking cdevsw. ok deraadt

save request length in cache. naddy noticed we weren't getting any hits.

Remove pointless externs - the structs are declared in the same files a
few lines above.

Expand DECLARE_ASN1_ALLOC_FUNCTIONS and DECLARE_ASN1_FUNCTIONS_const
macros. The only change in the generated assembly is due to line numbering.

Remove pointless uses of DECLARE_ASN1_ENCODE_FUNCTIONS_const.

DECLARE_ASN1_FUNCTIONS_const already includes this macro so using both
means we end up with duplicate function prototypes and externs.

wrap a long line

Fix use of pointer value after BIO_free, and remove senseless NULL checks.
ok bcook@

Always allow a r/w opening of /dev/null though the namei check.  This
pattern is common, especially because of daemon(3) usage.  Will probably
help some daemons move their pledge() calls further upwards.
ok doug,

ugly white space

delete pledge_bind_check() function and remove pledge_bind_check() call from sys_bind().

bind(2) still require PLEDGE_INET or PLEDGE_UNIX in order to be called, due to
SYS_bind entry in pledge_syscalls array. The diff restores also the ability for
PLEDGE_UNIX to call bind(2) (pledge_bind_check function missed that).

problem spotted by doug@
OK deraadt@

Place TIOCSTI reminder block better

For "tty" pledges, treat TIOCGPGRP and TIOCGWINSZ like TIOCGETA -
returning ENOTTY instead of killing the process.

Merge nlist out of boundary access fix with other nlist implementations.
While at it, merge style and typo fixes back into nlist(3), too.

ok deraadt, jsing, millert

Put tls_config_verify_client_optional() in the right place.

Fix tpyo.

Implement real "flock" request and add it to userland programs that
use pledge and file locking.  OK deraadt@

actually include the prerequisite dependency for BIO instead of doing nastyness

If a DOWN route entry is passed to a L2 output function, be dumb and
simply use it.

In most of the cases doing a route lookup at this point is a noop as
it will return you the same DOWN entry you already have.

The exception is the case where the route has been removed from tree
since your kernel looked for it.  So what?  It's just a blue packet.

Note that this "exception" can only happen if your sending path does
not run under the KERNEL_LOCK.

ok mikeb@

Put some iwm(4) debug code into #ifdef IWM_DEBUG.
ok mpi@

Clean up iwm(4) scanning logic a bit: Reset sc_scanband in callers of
iwm_mvm_scan_request() and always call ieee80211_end_scan() when done.
ok mpi@

Oops, committed old version of previous diff with a typo in it: NLL -> NULL

In iwm(4), correctly size and map the mbuf used for large firmware commands.
Fixes occasional firmware errors while bringing the interface up or scanning.
ok phessler@

Don't free after calling paste_set but do after evbuffer_add, from Theo
Buehler.

Validate parsed ELF values to prevent out of boundary accesses.
While at it, return proper return value when encountering a stripped
binary. Instead of -1 (illegal file), it should be the amount of symbols
that were tried to be resolved.

ok millert

Disable !-command to escape to a shell. You are supposed to play, press
^Z, or open up another terminal if there is something else to do.

ok deraadt

Add native support for ed-style diffs. No need to pledge "proc exec" anymore.

ok deraadt

doug and I think the kernel has enough features to support
pledge "stdio rpath wpath cpath getpw proc exec tty" now.
It will be hard to drop many of those features unless cu becomes
privsep for the "upload" commands.

FIOSETOWN/FIOGETOWN were added to "ioctl", but study finds no programs
currently needing them.  delete 'em for now.
ok doug

Add TIOCCBRK and TIOCSDTR to the whitelist for pledge ioctl.

cu(1) uses these.

ok deraadt@

Pledge support for the parent/resolver in identd(8).

This limits the resolver to just "stdio getpw" or "stdio getpw rpath"
depending on whether ~/.noident files are checked.

The child/listener cannot use pledge yet because it calls a sysctl that
hasn't been whitelisted.

"commit" deraadt@

Pledge for ftp(1) in non-interactive mode.

We will iterate and remove some of the pledges in the future.  This is
conservative for now.

Tested by sthen@ and myself.
ok deraadt@

Remove -B from EXAMPLES; reminded by jmc@

Add allocarray(), an overflow-safe allocation function.

We avoided reallocation support because it demands more fancy footwork
to deal with the prepended link struct.

This has been on my mind for a while, and a 2010 security review of mksh
by the Android security team's Chris Palmer suggested it.

ok nicm@. Also discussed with millert@ and tedu@.

sync

fine tune the logging some more

simplify logging functions. once a daemon, always a daemon

safety check that we're dealing with the filter we expect

most things should be static

exit(1) is better for the impossible condition

fix some signed/unsigned integer type mismatches in format
strings; reported by Nicholas Lemonias

Do not abuse .Nm for emphasis;
patch from Michael Reed <m dot reed at mykolab dot com>.
Also drop .Tn while here.

Delete two preprocessor constants that are no longer used.
Patch from Michael Reed <m dot reed at mykolab dot com>.

argument to sshkey_from_private() and sshkey_demote() can't be NULL

After spawning, the parent can pledge "stdio rpath wpath cpath"
from rob pierce

Remove three distracting aliases for NULL.

ok nicm@

Simplify the part of args() that is handling .Bl -column phrases:
Delete manual "Ta" handling because macro handling should
not be done in an argument parser but should be left to the
macro parsers, which exist anyway and work well.
No functional change, minus 40 lines of code.

Confusing and redundant code found while investigating
an old bug report from tim@.

When blk_full() handles an .It line in .Bl -column and indirectly
calls phrase_ta() to handle a .Ta child macro, advance the body
pointer accordingly, such that a subsequent tab character rewinds
the right body block and doesn't fail an assertion.  That happened
when there was nothing between the .Ta and the tab character.
Bug reported by tim@ some time ago.

it is perhaps better style to not call close() on -1, even if harmless