tmux can call pledge() in main with large set and then reduce it
slightly in the server to "stdio rpath wpath cpath fattr unix recvfd
proc exec tty ps".

Format for scroll position, from Jorge Morante.

Allow SIOCGIFINFO_IN6

Use tty_term_flag not _has for XT, and make -2 force direct use of
256-colour escape sequences (so setaf/setab can be bypassed if needed).

document -h flag and add a .Xr

ok sunil millert

ndp -n -d <addr> does dns lookups, even with -n. it should not.
found through pledge. ok deraadt@

netstart bits for tap(4)

Sync (MAKEDEV addition of tap)

Adjust tun(4) and tap(4) after the split.
Note: "pseudo-device tun" is used by both devices this is not a typo
OK dlg@ mpi@

Sync (after tap addition)

MAKEDEV bits for tap(4)
OK dlg@ mpi@

Allocate a new major for tap(4) also note that pseudo-device tun is for tap
as well. OK dlg@ mpi@

Split up tun(4) into tun(4) & tap(4). Killing the link0 magic to switch
between modes. The two drivers still share most of the code but the mode
switcher is gone.
OK dlg@ mpi@

route has 3 code paths: monitor (listening on route socket); show
(sysctl and then print), change (getsocket, then read/write on that).
Refactor lightly and insert pledge "stdio rpath dns" in each case.
ok claudio benno phessler

Allowing upstream servers of ntp being in multiple routing tables is
non-sensical.  The dns lookups happened in the process routing table
(usually '0'), which is very likely to have different results from the
other routing domains.  If you do depend on having this behaviour,
you'll need to use pf to cross the rtable boundary.

"listen on * rtable X" is still supported.

Users of "server * rtable X" will need to switch to launching ntpd with
"route -T X exec /usr/sbin/ntpd"

OK deraadt@

rtfree(9) and rtalloc(9) no longer need to be called under KERNEL_LOCK.

apply bold and italic to all non-ASCII Unicode codepoints,
fixing input like \fB\('e; issue reported by bentley@

Update route entries reference counters atomically.

This allows us to only grab the KERNEL_LOCK when the last reference
of an entry has been dropped.

For symmetry also grab the KERNEL_LOCK inside rtalloc(9).

ok dlg@, bluhm@

don't need MMAP to compile now

correct spelling of statistic in function name, from Pablo Hernandez

Check that syslogd delays a blocking write to tty and that that all
messages still appear on the tty.

It was possible to create a gateway route pointing to another gateway
route by changing the gateway.  Despite the error message when doing
so, the route did actually change.  The gateway is modified by
rt_setgate(), the error is created by rt_getifa().  Do these
operations the other way around.
OK mpi@

``rt_ifp'' cannot be NULL.

ok claudio@

getnameinfo() no longer needs pledge "route".  this drops to
pledge "stdio rpath".

Switch if_nameindex(3) to use the new NET_RT_IFNAMES sysctl to get the
list of interface names. At the same time switch if_nametoindex(3) and
if_indextoname(3) to use if_nameindex(3) instead of getifaddrs(3).
if_nameindex(3) exposes much less then getifaddrs(3) and is allowed by
pledge(2).
With and OK deraadt@

Add ifnameindex to te libc regress tests

delete ) that jumped in

let the icmp check use getsockopt IP_IPDEFTTL to get the default ttl
instead of using sysctl. makes it possible to pledge hce.

A bit of whitespace cleanup, to make further diffs smaller.

Fix BODUN handling after switch to UTF-8.

Still wondering if this functionality should be removed, but I'll leave
the decision to those who drink alcohol.

Input from & okay tedu@.

Nuke a bunch of leading/embedded/trailing whitespace so the code can be
read without generating spurious headaches.

forgot to commit makefile change for utf-8 calendars

Introduce a new sysctl NET_RT_IFNAMES that returns only ifnames to ifindex
mappings. This will be used by if_nameindex(3), if_nametoindex(3) and
if_indextoname(3) soon to fix the issues in pledge because of inet6 link
local addressing.
OK mpi@ benno@ deraadt@
The libc version will follow soon so better start updating your kernels

Make use of pledge(2).

ok deraadt@

Add pledge(2) to the child processes.

This is almost identical to the eigrpd(8) pledge diff, with the exception
that the parent process can not be pledged bacause of a SIOCSETMPWCFG
ioctl used to configure pseudowires.

Looks good to deraadt@.

Zap pv allocation abstraction layer.

ok mlarkin@

i assume this file needs a LANG like all the rest

translate calendar files to utf-8

push LDSTATIC line down so it's not overridden by makefile.inc. ok reyk

Fix uvm_object reference counting.  While these reference counts aren't reaaly
used (ttm bo's have their own reference counts), we can't let the reference
count go negative as this will freak out the upper uvm layers.  Since the
uvm_object reference count is still a useful debugging tool (ddb will display
it for example), adjust it such that the uvm_object reference count represents
the number of references held by the uvm layer.

tested by matthieu@
ok jsg@

simplify argv back compat

further simplify argv

cleanup argv handling a bit

simplify backcompat. no more support for kernel or kmem on argv

undent includes, from michael reed

mmap is the default. it's effectively the only tested codepath. so burn down
the stdio code path.
pros: everything is simpler. how can anyone read code this heavily spliced
with ifdef?
cons: you can't pipe a database into locate. who does this???
ok deraadt

add BUILDINFO file. currently contains a timestamp. ok deraadt

sync

enable viornd on RAMDISK_CD

ok kettenis@, deraadt@

Initial pledge of netcat - unfortunately flawed because fiddling the rtableid
in a socket option can be pretty scary and there is no better interface for this.
so if the -V option is used you get no pledge at all.. Otherwise, do what
works for the various options.  Still needs refinement for tls to drop rpath,
and a better solution for the routing table stuff

Fix waitpid() loop again: do the errno check only if waitpid() returns -1
and check WIFEXITED() only if it returns != -1.  Delete the logging of
errors other than ECHILD: EFAULT and EINVAL are impossible here.

ok deraadt@ millert@

Use waitpid() instead of wait() to avoid returning early from another child
exiting, and loop the waitpid() on EINTR

ok deraadt@ millert@

Loop the waitpid() on EINTR, and save and restore the disposition of
SIGINT and SIGQUIT with sigaction() instead of signal() so that all bits
are preserved.

ok deraadt@ millert@

Merge the sigaction() and sigprocmask() overloads/wrappers from libpthread
into libc, and move pthread_sigmask() as well (just a trivial wrapper).
This provides consistent handling of SIGTHR between single- and multi-threaded
programs and is a step in the merge of all the libpthread overloads, providing
some ASM and Makefile bits that the other wrappers will need.

ok deraadt@ millert@

pledge "stdio rpath getpw proc exec id" at start, much like doas.
2 further pledges are possible, not as many as doas can do, because the
order of some su operations is a bit different.  also it is trying
harder to please non-root nfs mounts?

With new pledge "ps" and "vminfo" requests, ps/top/w become possible.

there's an extra argument to soreceive now.

found by teary students.

pass the right sizes to free.

Update expected group sizes to match recent code changes.

inline the hfsc_active TAILQ.

make cl_actc in hfsc_class a TAILQ rather than a pointer to a TAILQ
that gets allocated seaprately.

include err.h for err() calls added with recent pledge commits.

inline the hif_eligible TAILQ.

make hif_eligible in hfsc_if a TAILQ rather than a pointer to a
TAILQ that gets allocated separately.

"look ma, i saved 4 or 8 bytes"

Remove two comments listing functionless files. Trivial, no functional
change.

counting packets in hif_packets in hfsc_if is redundant.

the ifqueue struct has the same information, and hif_packets is never
read separately. trim it.

tweak the vnetid so it can be optional and therefore cleared/deleted.

the abstract vnetid is promoted to a uin32_t, and adds a SIOCDVNETID
ioctl so it can be cleared.

this is all because i set an assignment on implementing a virtual
network interface and the students got confused when vnetid 0 didnt
show up in ifconfig output.

the vnetid in the vxlan(4) protocol is optional, but the current
code confuses 0 with no vnetid being set. this makes it clear.

ok reyk@ who also simplified my diff

proto.h contains many function prototypes. It's apparently separate from
sh.h because the pdksh devs used a prototype generator (last run in
1992). Merging it into sh.h makes things clearer.

ok nicm@

Add 3 new pledge requests.  "ps" exposes enough sysctl information for
ps-style programs (there are quite a few in the tree, including tmux).
"vminfo" exposes a bit more system operation information, which many
observation programs want (such as top).  settime allows setting the system
time, and will be used to pledge-protect the last ntpd process.

remove the pointer from hfsc_class structs back to hfsc_if.

you get to hfsc_class via a hfsc_if, so just pass the hfsc_if around
on the stack when we need it rather than following the pointer back.

most of this change is passing the hif on the stack.

ok mpi@ henning@

correct precedence; from Ilya Kaliman

Allow hw.ncpu sysctl (a few reasons showed up in my mailbox rapidly..)

crank libc major

Remove dnssocket() and dnsconnect(), since we decided to use a SOCK_DNS
flag instead.
ok guenther tedu semarie

Switch to using SOCK_DNS flag, rather than the dnssocket() and
dnssonnect() calls.  Be a bit careful crossing over this, need a kernel
no older than Monday.
ok guenther tedu semarie

replace pointer arithmetic and casts with offsetof
ok mpi@ bluhm@

replace pointer arithmetic and casts with offsetof
ok dlg@ krw@

Add pledge support to login_yubikey. Much feedback and OK millert@

Cast ctype function arguments to unsigned char.

ok guenther@

Fix some bugs in the handling of the RTM_GET and RTM_CHANGE messages
found when running eigrpd(8) and ldpd(8) together.

document tid keyword.
found with and ok bluhm@

use the new function man_validate() here, too

move man(7) validation into the dedicated validation phase, too

If no output device was allocated because no file wanted to produce output,
refrain from dereferencing a NULL pointer during final deallocation.
Fixing a recent regression reported by czarkoff@

Build boot blocks with -msmall-data -msmall-text.

Drop historical comment and an old '#if notyet'.

Kill link_rtrequest(), introduce in 1990 to "fix" the result
of rt_getifa() when adding link level route from outside the
kernel.

ok claudio@

Use only one refcounting mechanism for route entries.

ok bluhm@, dlg@, claudio@

Only check for rt_ifp now that it is alays the same as rt_ifa->ifa_ifp.

ok millert@, bluhm@

Make sure that the address matching the key (destination) of a route
entry is attached to this entry.

ok phessler@, bluhm@

Use rt_ifp instead of rt_ifa->ifa_ifp.

ok bluhm@

Kill dead code, ifa is specified and won't change.

ok bluhm@

iked hereby pledges that it will run with restricted system
operations.  This adds pledge(2) too all processes, including the iked
parent process; the existing privsep design has been improved for
better pledgeability.  There haven't been any serious problems as it
was already sane (eg. by receiving the PFKEYv2 and UDP sockets via fd
passing).  The control socket moved to an independent process to
remove some abilities from the cert process.

Committed in agreement with many but nobody was brave enough to OK it.

Better testing will happen with having it in the tree.
"It's the truth" deraadt@
"Let's see what happens" benno@

Add a regress test for if_indextoname() and if_nametoindex()

Another change that is needed to restore the previous behaviour of
ASN1_{GENERALIZED,UTC}TIME_set_string(), which allows it to be called
with a NULL pointer.

ok beck@

Inspired by satosin(), use inline functions to convert sockaddr dl.
Instead of casts they check wether the incoming object has the
expected type.  So introduce satosdl() and sdltosa() in the kernel.
OK mpi@

Final removal of EXTERN.

ok nicm@

Stop linking iked -static: It was inherited from isakmpd that is
-static for NFS-over-IPsec that might mount the libraries after /usr.
The benefit of linking iked dynamic outweighs the historic reason, eg.
to get full address space randomization and to benefit from libcrypto
updates, so we turn it into a dynamic binary.

OK deraadt@ naddy@

Restore previous behaviour and allow
ASN1_{GENERALIZED,UTC,}TIME_set_string() to be called with a NULL pointer.

Found the hard way by @kinichiro on github.

ok beck@

Add pledge(2) to some binutils that handle untrusted data.  Most can do with
"stdio rpath", while objdump(1) also needs "tmppath" for objdump -i.

ok deraadt@, comments sthen@ kettenis@

Extend tests to call ASN1_{GENERALIZED,UTC,}TIME_set_string() with a NULL
pointer - because, you know, you might want to set a string on a NULL
object. The previous implementation apparently allowed this as a way of
testing if the string was valid... probably because the *_check() functions
are only useable after the string has already been set.

Fix case where we wanted to test ASN1_TIME_set_string() but were testing
ASN1_UTCTIME_set_string() twice instead.