We cannot log errors with server_close() before allocating
clt_log evbuffer.
server_close() calls server_log() which uses ctl_log.
Crash reported by Daniel Jakots <vigdis AT chown DOT me>, thanks!
OK benno

Unify mdoc_deroff() and man_deroff() into a common function deroff().
No functional change except that for mdoc(7), it now skips leading
escape sequences just like it already did for man(7).
Escape sequences rarely occur in mdoc(7) code and if they do,
skipping them is an improvement in this context.
Minus 30 lines of code.

Get rid of two empty wrapper functions.  No functional change.

Fix 13 years old typo that should be responsible for the unhappiness
of UVM on PowerPC architectures by breaking pmap_is_referenced() and
friends.

ok kettenis@

tedu remnants of the previous attempt to implement page zeroing in
the idle thread.

ok deraadt@

replace the use of struct ifqueue in pipex with mbuf_queues.

this has a slight semantic change. previously pipex would only
process up to 128 packets on the input and output queues at a time
and would reschedule the softint if there were any left. now it
mq_delists the current set of pending packets and only processes
them. if anything is added to the queues later they'll cause the
softint to run again.

this in turn lets us deprecate sysctl_ifq since nothing uses it
anymore. because niqueues are mostly wrappers around mbuf_queues,
we can provide sysctl_mq and just #define sysctl_niq to it.

pipex bits are ok yasuoka@

use reallocarray instead of calloc; avoid the zero before infill
ok nicm

Do not need to buf[0] = 0 before strlcpy(buf, ...

delete a NOTDEF of unused code

KNF and other style adjustments to make this more scrutible.
reviewed by millert

Add a simple regression test for sshd's configuration parser.  Right now,
all it does is run the output of sshd -T back through itself and ensure
the output is valid and invariant.

Two small fixes for sshd -T: ListenAddress'es are added to a list head so
reverse the order when printing them to ensure the behaviour remains the same,
and print StreamLocalBindMask as octal with leading zero.  ok deraadt@

Check for and reject missing arguments for VersionAddendum and ForceCommand.
bz#2281, patch from plautrba at redhat com, ok djm@

avoid an uneeded deref
ok blambert@ guenther@

error in strtonum() conversion; found by Nathanael Rensen

dont need \n on panic strings

Remove forgotten empty files, from miod, thanks

Expand SLIST macro of unix pcb members before printing the pointer.
Fixes a gcc warning.  No binary change.
Found by and OK deraadt@

Use .Ar for placeholders and .Cm for arguments to be provided verbatim.
No text change.
Inconsistent markup noticed by Alex dot Greif at greifdesign dot net.
OK jmc@ ajacoutot@.

Make session_has return a flag, returning the first winlink found is a
recipe for errors.

Change the windows array into an RB tree and fix some places where we
were only looking at the first winlink for a window in a session.

window_index is only used in one place (window_destroy) so inline it there.

Update termtypes.master to terminfo.src from ncurses-5.9-20150418.

Init a variable to zero so values aren't or'd into uninitialised memory.
From jeundery at gmail dot com

Add the necessary glue to keep carp(4) working while other pseudo-drivers
are converted to if_input(), this time without breaking parent-less setup.

ok sthen@, dlg@

Add missing header for NBRIDGE chunk, found the hardway and diff from
Rafael Zalamena.

Implement the MI atomic API for PowerPC to avoid using gcc builtins that
include extra sync operations.

ok kettenis@

Reduce differences between pae and no-pae modes.

discussed with deraadt

sync

Init rt to NULL in arpresolve().  Not a problem in practice
as la will be NULL when rt is uninitialised which should cause
the function to return, but makes the code easier to follow.

ok mpi@ miod@

Init error to 0 for sdmmc_mem_single_{read,write}_block
otherwise the value would be uninitialised in the unlikely
case of being called with length 0.

having macros provide semicolons is dangerous.

use correct key for nested certificate test

unknown certificate extensions are non-fatal, so don't fatal
when they are encountered; bz#2387 reported by Bob Van Zant;
ok dtucker@

Look up indexes as number before name, makes more sense if windows are
named starting with numbers. From Thomas Adam.

Always format real layout even when zoomed.

Do not die on USR1 if any of the socket parent directories are
missing. Reported by Robin Powell.

Simplify error messages when socket connect fails, suggested by "Karthik K".

The free callback could end up being fired before the done callback
(happens on Cygwin), so use a reference count instead of a single
flag. SF bug 188 reported by "iceboy".

Fix moving windows to nonexistent indexes when renumber-windows is
off. From Thomas Adam, reported by Daniel Levai and Theo Buehler.

Remove an extra lcr3 that snuck into pmap_switch during yesterday's
cleanup, responsible for various reaper panics pointed out on bugs@ this
morning.

ok deraadt@

Improve divert-to specification parsing w.r.t. rule address family.
ok henning

According to RFC 4861 and the actuall implementation rltime may not
exceed 9000 seconds.
Reported by Alexander Lobodzinski on bugs@, thanks!
OK benno@

Avoid a use after free when the target node is deleted during validation.
Bug reported by jsg@.

Bind mouse dragging so that it is passed through to applications if they
want it rather than entering copy mode.

Don't eat the mouse event that triggers a drag end because we may want
to pass it on to application inside the pane.

Put mouse_any_flag back, don't know where it went to (still in man page).

Pass mouse events through to commands for if-shell.

cmd_mouse_pane can return NULL, check for that.

Section 1, not section one: section numbers are always numerical.
For example, "man -s one" wouldn't work either.
Patch from Alex Greif <alex dot greif at greifdesign dot net>.

disable *8 again for now. incoherent archs arent having much fun with it.

append the setdir ("5.7/amd64", "snapshots/vax") as get-parameter "path"
when fetching the autoinstall response file.
a webserver that serves static files doesn't give a damn. if I map that
to something that dynamically creates the response file, i can use that to
construct the sets path, or play other arch and/or version dependent
games.
ok krw uwe

Back in January, Kaspars at Bankovskis dot net reported that the wc(1)
manual claims that -m would count characters, while our version of the
command actually doesn't, lacking POSIX multibyte support.  Since
nobody stood up to fix the code, sync the docs with reality for now.
OK jmc@

When diff(1) finds differences, it returns an exit status of 1.
In that particular case, refrain from printing "diff: exit code 1"
because that exit status doesn't indicate an error condition.

Issue noticed by and patch OK'ed by ajacoutot@.
"I agree with the goal, and I suspect the diff actually achieves it" guenther@.

Revert previous.  Packets going through carp_input() but not destinated
to the carp interface would end up enqueued without being decapsulated.

Found the hard way by shten@

Add back a backslash removed in rev 1.42 so KEX_SERVER_ENCRYPT will
include aes again.

ok deraadt@

Remove a duplicate variable and #define that snuck in, in a previous
commit.

ok deraadt@

fix a memory leak if tls_read() fails.  ok henning@

fix a memory leak.  ok blambert@

No need to do "size = (size_t)sb.st_size" both before and after
a fstat() call.
ok mikeb@ markus@

init both fds passed to pipe as -1 instead of initing one twice
ok deraadt@ guenther@ miod@ millert@

The ELF psABI for PPC specifies that the stack shall always be 16-byte aligned.

ok mpi@ deraadt@

rework sgi mutexes to use the owner pointer as the lock.

this is like src/sys/arch/alpha/alpha/mutex.c r1.14.

this changes sgi mutexes so they record which cpu owns the lock
rather than just if the lock is held or not. the diagnostics compare
the owner to the current cpus curcpu() address so they can actually
tell if the current cpu holds the lock instead of whether any cpu
holds the lock.

instead of using custom asm to implement a cas this uses atomic_cas_ptr.

while im here i also shuffled the code. on MULTIPROCESSOR systems
instead of duplicating code between mtx_enter and mtx_enter_try,
mtx_enter simply loops on mtx_enter_try until it succeeds.

this also provides an alternative implementation of mutexes on
!MULTIPROCESSOR systems that avoids interlocking opcodes. mutexes
wont contend on UP boxes, theyre basically wrappers around spls.
we can just do the splraise, stash the owner as a guard value for
DIAGNOSTIC and return. similarly, mtx_enter_try on UP will never
fail, so we can just call mtx_enter and return 1.

tested by and ok miod@

Eliminate the last uses of *fork's second syscall return register; the pid
is zero in the child

ok deraadt@ miod@

Reduce differences between i386 pmap modes.

ok kettenis@

Remove most static, gives us much better ddb tracebacks from secondary
processors.

Log if we refuse to continue the exchange when another one that corresponds
to the same policy is already active.  OK markus, hshoexer

Remove unused-but-set variables, from Thomas Adam.

Support for multiple key tables to commands to be bound to sequences of
keys. The default key bindings become the "prefix" table and -n the
"root" table. Keys may be bound in new tables with bind -T and
switch-client -T used to specify the table in which the next key should
be looked up. Based on a diff from Keith Amling.

Fix asking for list of http servers via '?'. The 'more' now used
on the install media does not (currently) support '-e' or other
posix nifties, but does exit after displaying the last line.

Should fix scanning for wireless networks too.

Reported by Adam Wolk on misc@.

ok deraadt@

Style nit - unnecessary brackets.

totally forgot about the !uid notation in newuser when adding the early
cache for pkg_create. Reminded by sthen@

Fix previous:  Don't let man(1) warn twice about non-existant names.
Again noticed by deraadt@.

Avoid out-of-bounds read access before the beginning of the
mdoc_macros[] array.  This sometimes prevented proper warnings
about text nodes preceding the first section header.

Make jump-to-backward/jump-to-forward repeatable with
jump-reverse/jump-again, from Jacob Niehus.

Remove a bad typo introduced in rev 1.185 and found by jsg@.

Because of this semicolon, a local route was *always* created.  This
should have no impact except for IPv6 addresses on loopback interfaces
for which the IPv6 code was trying to create a route to "::1" twice.

This should now be fixed so we can fix the bug that was hidding a bug
who was hidding a bug... lalala...

ok henning@

Do not treat loopback interfaces as p2p interfaces and create only
one route to "::1".

Due to a clever BSD trick, the `ifa_dstaddr` field of addresses on
IFF_LOOPBACK ifps is set to the same value that `ifa_addr`.  That's
why filtering for broadcast addresses is so complicated, because
guess what, `ifa_broadaddr` is the same as `ifa_dstaddr`!

Sadly our IPv6 code was "only" checking for `ifa_dstaddr` without
looking if the ifa was attached to a IFF_POINTOTPOINT interface.
So it always tried to create two routes to "::1" and, with the
recent RTF_LOCAL work, succeed.

You should now have only one local route to "::1".

 ::1             ::1         UHl       14  0 32768     1 lo0
-::1             ::1         UH         0  0 32768     4 lo0

ok henning@

Always call rt_ifa_dellocal(9) when removing an IPv6 address.

The routing layer already check for the correct ifa when asked
to delete a local route, so do not try to be clever here.

This change also prevent having a NULL ifp pointer in your routing
table when you delete loopback interfaces having the same address.

ok henning@

Use a more sensible buffer size for flags string.

port src/sbin/ping/ping.c r1.119 and r1.121 to ping6:

> add a mac to the timestamp payload and calculate it with siphash.
>
> this lets us have some confidence that the timestamp hasnt been
> damaged or tampered with in transit.
>
> discussed with jp aumasson
> ok florian@

fold the icmp seq number into the mac.

i dont know why i missed this before.

tweak previous;

Honour renumber-windows when unlinking a window, from Thomas Adam.

Rewrite of tmux mouse support which was a mess. Instead of having
options for "mouse-this" and "mouse-that", mouse events may be bound as
keys and there is one option "mouse" that turns on mouse support
entirely (set -g mouse on).

See the new MOUSE SUPPORT section of the man page for description of the
key names and new flags (-t= to specify the pane or window under mouse
as a target, and send-keys -M to pass through a mouse event).

The default builtin bindings for the mouse are:

    bind -n   MouseDown1Pane select-pane -t=; send-keys -M
    bind -n MouseDown1Status select-window -t=
    bind -n   MouseDrag1Pane copy-mode -M
    bind -n MouseDrag1Border resize-pane -M

To get the effect of turning mode-mouse off, do:

    unbind -n MouseDrag1Pane
    unbind -temacs-copy MouseDrag1Pane

The old mouse options are now gone, set-option -q may be used to
suppress warnings if mixing configuration files.

Support setting the default window and pane background colours (window
and active pane via window-style and window-active-style options, an
individual pane by a new select-pane -P flag). From J Raynor.

More than one data field may follow T} on the same input line.
Issue found by Christian Neukirchen <chneukirchen at gmail dot com>
in the socket(2) manual on Linux.
Also fixes major rendering bugs (including partial loss of content)
in XkbChangeControls(3), XkbFreeClientMap(3), XkbGetMap(3),
XkbKeyNumGroups(3), and XkbSetMap(3).

Incorrect logic in smtpd(8) can lead to unexpected client disconnect, invalid
certificate in SNI negotiation or server crash.

spotted by Edwin Torok

Add support for x2apic mode

This is currently only enabled on hypervisors because on real hardware, it
requires interrupt remapping which we don't support yet. But on virtualization
it reduces the number of vmexits required per IPI from 4 to 1, causing a
significant speed-up for MP guests.

ok kettenis@

If an explicit line break request (.br or .sp) occurs within an .HP block,
the next line doesn't hang, but is simply indented.
Issue found by Christian Neukirchen <chneukirchen at gmail dot com>
in the dmsetup(8) manual on Linux.
This patch also improves the indentation of XDGA(3) and XrmGetResource(3).

sync

If apropos(1) finds no match, print "nothing appropriate" to stderr
similar to what the old apropos did.
Requested by and OK deraadt@.

Unify trickier node handling functions.
* man_elem_alloc() -> roff_elem_alloc()
* man_block_alloc() -> roff_block_alloc()
The functions mdoc_elem_alloc() and mdoc_block_alloc() remain for
now because they need to do mdoc(7)-specific argument processing.

Bump minor, regen .pc and header

Merge conflicts

Unify some node handling functions that use TOKEN_NONE.
* mdoc_word_alloc(), man_word_alloc() -> roff_word_alloc()
* mdoc_word_append(), man_word_append() -> roff_word_append()
* mdoc_addspan(), man_addspan() -> roff_addtbl()
* mdoc_addeqn(), man_addeqn() -> roff_addeqn()
Minus 50 lines of code, no functional change.

Merge conflicts

Update sqlite3 to 3.8.9. Changes available here:
http://sqlite.org/releaselog/3_8_9.html

Tested in bulk and ok landry@

Decouple the token code for "no request or macro" from the individual
high-level parsers to allow further unification of functions that
only need to recognize this code, but that don't care about different
high-level macrosets beyond that.

Unify node handling functions:
* node_alloc() for mdoc and man_node_alloc() -> roff_node_alloc()
* node_append() for mdoc and man_node_append() -> roff_node_append()
* mdoc_head_alloc() and man_head_alloc() -> roff_head_alloc()
* mdoc_body_alloc() and man_body_alloc() -> roff_body_alloc()
* mdoc_node_unlink() and man_node_unlink() -> roff_node_unlink()
* mdoc_node_free() and man_node_free() -> roff_node_free()
* mdoc_node_delete() and man_node_delete() -> roff_node_delete()
Minus 130 lines of code, no functional change.

by default fill the ping payload with a chacha stream instead of
an unvarying payload.

each ping process generates a random key, and each packet then uses
the timestamps mac as the IV for the stream.

this allows us to have a different payload per packet that we can
recalculate and compare in the same was as the static payload was
checked before. by aggressively varying the payload we hope to
generate more opportunities for dodgy network equipment to show
errors.

note that we do siphash before chacha because we want to be strict
about the timestamp payload, but we want to be able to recognise
errors in the rest of the payload and where those errors were. doing
chacha before siphash would have us than fail the whole packet if
a checksum doesnt match.

discussed with jp aumasson
ok florian@