Remove the non-standard -l flag that pipes the output through pr(1).
Based on a diff from and OK deraadt@

Add support for !:strength modifier to adjust strength of a test.

Offset into the file can be size_t and add some casts to remove warnings.

Revert if_oqdrops accounting changes done in kernel, per request from mpi@.

(Especially adding IF_DROP() after IFQ_ENQUEUE() was completely wrong because
IFQ_ENQUEUE() already does it.  Oops.)

After this revert, the situation becomes:

- if_snd.ifq_drops is incremented in either IFQ_ENQUEUE() or IF_DROP(), but
  it is not shown to userland, and

- if_data.ifi_oqdrops is shown to userland, but it is not incremented by
  anyone.

Style nits on a couple of casts.

Use explicit_bzero() instead of memset() for zeroing out secrets.
OK deraadt@

this process deserves -fstack-protector-all

some more bzero->explicit_bzero, from Michael McConville

correct picasso's birth date;
from comet (freebsd 116952), via richard

alpha ramdisk ran out of space, very slightly.  Probably due to the
development of tame?  option CD9660 and mount_cd9660 are already
absent, so remove the cd(4) driver
ok miod

tame "stdio inet cmsg" should work well in the session engine.
ok benno

KNF a switch statement, moving a local variable up a frame as well -
carefully.

Out, damned whitespace!

Count IFQ_ENQUEUE() failure as output drop.

mpi@ prefers checking IFQ_ENQUEUE() error, and this matches that.

OK dlg@

Don't count IF_DROP()'ed packets as if_oerrors too.

mpi@ plans to clean-up IF_DROP()'s, but fix consistent use of it for now.

OK dlg@

Remove unused errstr variable.

use different tame requests if TMPDIR is in env:
- tmppath for when mktemp() operates in /tmp proper
- cpath+wpath for use of $TMPDIR

based on log-message from previous commit

ok deraadt@

Handle ifi_oqdrops in netstat(8).

OK mpi@ dlg@

Accumulate ifq_drops into if_oqdrops if if_start().

mpi@ questioned usefulness of if_snd.ifq_drops, but this is what exists now.
This area is going to be readily polished.

OK dlg@

Teach snmpd(8) about if_oqdrops.

OK mpi@ dlg@

If expression omits -exec/execdir/-ok primaries, then find will never
enter the fork+execve codepath.  That allows use of "stdio getpw rpath"!
Use of -exec methods have been discouraged for years anyways, with
-print0/xargs -0 now considered safer practice.
ok guenther millert

Add ifi_oqdrops and its alias to struct if_data.

Necessary bumps in Ports will be handled by sthen@.

OK mpi@ dlg@

If the -l flag is set, diff will fork/execve pr on a pipe.  But other
uses can tame "stdio wpath rpath cpath tmppath".  tmppath for when
mktemp() operates in /tmp proper, but cpath+wpath for use of $TMPDIR.
ok sthen millert

correct a rtget() error check
this function could only return 0 or 1, and 1 on error.

avoid to deref an uninitialised variable if rtget() return an error.

ok millert@ benno@ deraadt@

these 3 files do not need sys/socket.h

tame "stdio rpath" or tame "stdio" suffices for all of these programs.
fairly easy to audit by running nm and noticing nothing beyond base
stdio except for fopen/freopen.  Then review all callpaths to those
functions, and place the tame() calls.
ok sthen

This can use tame "stdio rpath" from the top.  If we are only working on
stdin, an additional tame "stdio" is easy.
same diff from sthen

tame "stdio rpath" works.  (Someone could refactor the processing loop
to handle the stdin case without rpath, but it looks a bit invasive.
ok sthen

Simplify iwm(4) newstate task by only queuing one state transition
at a time. The newstate task now always transitions to the most
recently requested state, rather than hopping along with every request.

This allows us get rid of the silly newstate generation counter, and
we can now task_del() a pending transition when the interface goes down.
While several issues with this driver remain, I believe this change
does not introduce new problems.

Tested by myself, jasper@, and zhuk@

Factor LACP frame processing out to a separate task

This is slightly refactored version of the diff by jmatthew@
that makes use of a single per-trunk task but retains per-port
mbuf queues.

Running LACP frame processing in a task context allows a simple
way to synchronize changes to the trunk ports and trunk itself
performed from the ioctl, timeout and task contexts with a kernel
lock.

OK mpi

Remove 'landisk' from the comment about NUMBOOT archs. Only one
NUMBOOT arch is left: Vax.

fix some spelling messes.

typo.

Fix missing checks for truncation of long file names. Rather than
checking for truncation every time we touch the string, simply allocate
a memory chunk large enough to store the full path.

tame "stdio rpath" works fine, as long as we sidestep the demangling
process which involves fork+execve....
ok doug

Since the dawn of time, this has contained freopen() for the tty path
with mode "w", as root, since "w" implies O_CREAT.  That will create
the raw file in /dev if it does not yet exist (due to a lie in utmp).
It should use "r+", to open it for for O_RDWR only.
Oh man this reminds me of 1988, how old is this bug?
ok doug

tame "stdio rpath" initially; if we find out the only file operated on
is stdin, then we can drop directly to tame "stdio"
ok doug

tame "stdio rpath wpath cpath fattr", because this creates new files,
fchmod's them, and possibly renames them.
ok doug

refactor, so we don't a C function in a .h file, yuck!

Fix ip_is_idle_packet() to parse packets properly.
diff from Yuuichi Someya

tame "stdio getpw" right at the top; this runs the whole gamut of
getpw/gr type functions allowed in that set.
ok doug

tame "stdio rpath" for the entire lifetime.  newsyntax() could open a file
very early on, but next() can open one quite late.
ok doug

small KNF

tame "stdio rpath" early on, but if we discover only stdin is being
operated on switch to tame "stdio".  Reformat a very ugly code block
without braces to squeeze the tame calls in.
ok doug

use the normal -1 check for tame failure

use the normal -1 check for tame failure

tame "stdio rpath" is enough for the general case, which opens file
after file from argv.  If it is discovered to be reading from stdin only,
go to tame "stdio"
ok doug

Make sure dot is not set after tz - fixes incorrect handling, which allows
20151005171301+1.09Z to be treated as a valid time.

ok beck@

tame "stdio rpath" works here.  It may look like the stdin case can avoid
opening files, but no... a file could indicate nested import of another
file, so rpath is needed.
ok doug

col can be locked down with tame "stdio", in case it is fed nasty input,
or if it has bugs.  The previous commits by schwarze indicate the latter
case was very true until recently...
ok doug

banner can be restricted to tame "stdio".  if this program is put into a
foreign-data pipeline, and happens to contain a string handling bug, i do
not want it being controlled to open a socket.
ok doug

tame "stdio rpath" works for all use cases of pwd(1).  In part this
success could be because our getcwd() is backed by a system call, unlike
historical practice.  Didn't think it through competely, but this could
burn someone else later, if they try to port this code to another system.
Anyways, good enough for us.
all cases tested by doug

Remove disklabel -B support on landisk - superseded by MI installboot.

No need to create {sd,wd}boot links to xxboot anymore.

Use MI installboot instead of disklabel -B to put boot blocks on installation
media.

Copy the stage2 file to / in md_installboot().

Oops. Missed file in fdisk commit.

Wrap <resolv.h> so that internal calls go direct

ok millert@

When the SIA state is declared for a given destination, reset the
adjacency with the unresponsive neighbor(s).

Tweak man page to describe newly enhanced '-g' operation.

Enhance '-g' to create a default GPT label in addition to the protective
MBR. If '-b' is specified an EFI System partition of the requested size is
created. All remaining space is put into an OpenBSD partition.

Minimal enhancement necessary for upcoming UEFI install support.
Committed first to flush out any unexpected impacts on 'normal' MBR
operation and install media.

ok deraadt@

user land -> userland; from Rob Pierce

user land -> userland; from Rob Pierce

Ignore IPv4 TLVs in IPv6 instances and vice-versa.

Fix warnings and add safeguards to protect against corrupted data.

Add option to configure or disable the DUAL active timeout.

mention sendto(2) destination address restriction for "rw"
subset; ok deraadt, feedback & ok jmc

tweak initial output a bit: do not show number of light sensors, just show if
some is found or not, also remove kbdled output as there is no (known) way to
test if (not) available at all

dmesg has two modes.  The normal sysctl mode, and the -M/-N kvm searcher.
In both cases once the relevant setup is done, it can drop to tame "stdio".

remove tame "proc".  it is not useful, because the "ed" diffs require
fork+execve, and execve is not going to become available in this fashion.
ed diffs should be handled using a built-in handler, and various folks
have been discussing this behind the scenes.

Move getcwd to a seperate area, with a hand-waving explanation for why
it is RPATH|WPATH... nothing changes, just the new explanation.

Also needs "rpath" for some circumstances.

add _eigrpd user/group

expr can use tame "stdio"
ok semarie

ls can use tame "stdio rpath getpw".  It does uid/gid lookups, using
the 4.4bsd libc caching varients called user_from_uid/group_from_uid,
which are backed by getpw*/getgr* type functions.
ok semarie

df is a tame "stdio rpath" program, the rpath due to getfsstat and statfs.
those two system calls were put into the "rpath" catagory because they
expose pathname information.

Remove useless pattern_t typedef, POSIX regex is here to stay so
just use regex_t directly.

Apply some style(9), tweak a few things for readability and add some
additional bounds checks.

ok beck@

Remove #ifdefs for non-POSIX systems.  Also remove #ifdef for
SIGWINCH, it is not POSIX but it is a defacto standard.
OK deraadt@

after dd has opened it's files and done the tape positioning ioctl, we
can tame "stdio" it.
ok semarie

Plural.

Make it possible to give the same action to several daemons at once.
e.g.
# rcctl restart sshd ntpd

from Martijn van Duren with tweaks
ok sthen@

a macmini has no light sensor, but reading from light sensor keys is
successful, while info/type reading from same keys fails and avoids
initialization;
so check the validity flag earlier and do not try to attach invalid
(non-existing) keys

debugged with help from kettenis

fix custom popen to return pid to caller instead of tracking in a giant
array. this implies we can't use a function pointer for close, but also
means we get to repair some abuse of the comma operator.
ok miod

remove duplicate key, found by kettenis

remove stale comment. there is no need to avoid side effects from a "list"
command, because this is not the ftp daemon

Clarify a point.  Adjust punctuation after discussion w/ jmc@

Wrap <search.h> to make all the symbols there weak

add "usage: " to usage(); from michael reed

Wrap <spawn.h> to make all the symbols there weak

Fix memory leak in error path.
From Benjamin Baier, found by llvm/scan-build.

wrap __ivaliduser_sa() so the internal call is direct (at least until we
stop exporting it)

wrap _fwalk() so internal calls are direct (at least until we stop
exporting it)

Add tame(2) to file(1) and drop the old systrace(4) sandbox. tame(2) is
only applied to the child process, which requires the parent to not pass
directory file descriptors (tame("cmsg") does not allow it). Because
file(1) is already privsep, the permissions in the child can be quickly
restricted: first to "stdio cmsg getpw proc" then after the privdrop to
"stdio cmsg".

recv() and send() aren't overriden by libpthread (vs recvfrom() and sendto()!)
so wrap them to make internal calls go direct

getpeereid() and sockatmark() are neither used in libc nor in ISO C, so mark
them deprecated and weak

__fdnlist() is exported for libkvm, but the internal call can go direct

__xdrrec_getrec is in the reserved namespace, so it doesn't need to be weak

Delete an inexplicable comment

Repair tame() error check to be == -1