Fix memory corruptions with sysv semaphores due to sleeps in copyin,
copyout and malloc.  During a sleep another thread could delete the
semaphore (and possibly allocate another one at the same location
with different permissions) which would lead to an invalid access
after wake up.  Therefore check the semaphore pointer, the sequence,
the permissions and some values in seminfo after each sleep.
OK bluhm@
Reported-by: syzbot+60ba811fe2e8a6b0f975@syzkaller.appspotmail.com

Add scroll-top and scroll-bottom commands to scroll so cursor is at top
or bottom. From Anindya Mukherjee, GitHub issue 3334.

Add a -T flag to capture-pane to stop at the last used cell instead of
the full width. Restore the previous behaviour by making it default to
off unless -J is used (the only time it matters). Fixes mosh unit tests;
GitHub issue 3339.

complete bootparamd -> rpc.bootparamd

reminded by jmc

Avoid escaping inside here documents

The delimiter can be quoted (single or double) to disable parameter, command
and arithmetic expansion inside the here document:

$ cat <<__EOT
echo $(echo foo)
__EOT
echo foo

$ cat <<'__EOT'
echo $(echo foo)
__EOT
echo $(echo foo)

Do the latter to be able to write the here document/file content exactly as
it would end up in output/rc.firsttime, making it easier to read.

To be more consistent and explicit, switch the remaining here documents with
pure plain text (no shell expansion, etc.) to quoted delimiters.

OK millert

simpler ftplist[0-9].o.o removal

We read /tmp/i/hosts line-wise to fill /mnt/etc/hosts and remove the tmp
file immediately afterwards, so just skip ftplist entries inside the loop
with a slightly easier to read ksh pattern rather than purge the tmp file
up-front with sed(1).

This is also a tiny bit more robust should the ftplist entries ever be added
with a tab as separator instead of a space and/or an alias since the sed
one-liner hardcodes a single space and expects no alias whereas ksh's read
takes any amount of whitespace between _addr and _hn while not caring about
optional aliases.

Comment is obvious so zap it.

OK millert

Zap .Nm bootparamd

Match rpc.{lock,stat}d(8) only having their proper name.

OK deraadt

fix passing explicit stage files

This fixes installboot regress on octeon; same diff as
macppc_installboot.c r1.6, powerpc64_installboot r1.7 and
octeon_installboot r1.8.

loongson was the last architecture requiring this fix.  I don't have a
machine to test it myself (loongson isn't built anymore, anyway) but given
the same diff works on four other architectures, this should just work.

fix passing explicit stage files

This fixes installboot regress on octeon;  same diff as
macppc_installboot.c r1.6 and powerpc64_installboot r1.7.

fix passing explicit stage files

This fixes installboot regress on powerpc64.

The exact same diff already landed for macppc;  efi also has the same fix
for md_init() but without the string handling cleanup that entails.

macppc_installboot.c r1.6 "Fix passing explicit stage files":

Using `stage1' leads to a bit more cleanup since early MI installboot.c
handles `-r', i.e. write_filesystem() no longer has needs to do the
fileprefix() dance itself.

OK gkoehler

- no more /usr/include/objc; confirmed by miod
- add /var/agentx; text from martijn

typing ^C and seeing "terminated by signal %d" is so ... I don't
have the words
ok florian

we are now working on 7.2-current

openssh-9.1

For framebuffers that don't start on a page boundary, we need to allow
mapping of all the pages used by the framebuffer, even those that are
only used partially.  Adjust the check in simplefb_wsmmap() to allow that.
While there, also make sure we use a (rounded down) page aligned address
base address for the physical address we return.

Fixes X on the 16" Macbook Pro.

ok patrick@, deraadt@

Fix a use after free in case mta_tls_init fails.

Found the hard way by renaud <at> allard <dot> it
OK eric@, gilles@, millert@

Regenerate usbdevs{.h,_data.h} for Wacom One S (CTL-472)

uwacom(4): Support for Wacom One S (CTL-472)

Drop incomplete archs lists from wsmoused(8) comment

OK deraadt

Hide error messages while extracting Apple firmware.  Depending on the
model there might be no firmware and we want to avoid confusing users
with WARNING messages about patterns that were not matched.

ok deraadt@

Document savecore_flags

OK jmc deraadt

add /etc/rpki/
tweak/ok claudio

Give mfii(4) firmware more time to transition out of UNDEFINED state.

Prevents occasional failure to recover from firmware FAULT state where
the driver gave up too early: mfii0: firmware stuck in state 0

ok deraadt@

ascii_load_sockaddr: Remove old IPv6 address parsing for envelope files.
IPv6 addresses have been formatted as "[address]" in envelope files
for years.  This was supposed to be removed after the 6.6 release
but got forgotten.  Noticed by kn@, OK deraadt@ kn@

rpki-client 8.1

OpenBGPD 7.7

There are time zones that have minute offsets, display those
correctly. Pointed out by pjanzen@.
To display the offset, use ISO 8601, as suggested by David Goerger.

While here check if tm->tm_gmtoff changed which probably means that we
moved in or out of daylight savings time.

Input & OK millert, deraadt

macro tweaks; from josiah frentsos
ok deraadt

macro tweaks; from josiah frentsos
ok deraadt

Sync with https://github.com/JodaOrg/global-tz
Major changes:
 o Palestine DST transitions are now Saturdays at 02:00.

disable POOL_DEBUG for release
ok deraadt@

add SH-B0 0x00000f50 socket 940 family 0Fh Opteron
we already had SH-B0 0x00000f40 socket 754 family 0Fh Athlon 64

SH-B0 is part of amd64_errata_set8[].  Used for:
Errata 89: Potential Deadlock With Locked Transactions

ok deraadt@

Adjust dummy rde_generate_updates() to the new prototype.

Fix detection of duplicate sticky-address in pf.conf parser.
reported to FreeBSD by Franco Fichtner; from Kristof Provost

Sync to libunbound 1.16.3

Xr to correct man page; from  Josiah Frentsos, thanks!

POSIX timzone specs may contain '.' so only reject names containing '../'.
Noted by pjanzen@ with input from deraadt@.

Since tzset(3) ignores arbitrary files, we no longer need rpath
and can depend on the /usr/share/zoneinfo bypass.

OK mestre, millert, deraadt

Don't depend on RTLABEL_LEN but instead define our own ROUTELABEL_LEN.
With this bgpd.h no longer depends on net/route.h
OK tb@

Implement a special update generator for add-path send all.

The generic add-path code up_generate_addpath() reevaluates everything
since this is the simplest way to select the announced paths. For add-path
all this is overkill since there is no dependency between prefixes and so
individual prefixes can be handled more efficently.

Extend rde_generate_updates() to pass the current newbest and oldbest
prefixes (for the selected best path) but now also include newpath and
oldpath (which is the prefix that is added/removed/modified).
If newpath or oldpath is set then a single prefix was altered and
up_generate_addpath_all() can just remove or add this prefix.
If newpath and oldpath are NULL than the full list based on newbest
needs to be inserted and any old path/prefix removed in the process.

This improves update generation performance on big route collectors using
add-path all substantially.

OK tb@

merge unbound 1.16.3

Don't hardcode disk major device types inside DEBUG block. Use
findblkname() and DISKUNIT(). Allows all block devices, not just
sd* and vnd* to generate useful names in DEBUG output.

Cluebat by deraadt@

Delete unused variables originally come from mvme88k.

only call printf the first time amd64_errata() is called
it may later be used from a resume path when we don't want to print

same change as amd64 amd64errata.c 1.11 by robert

ok robert@ deraadt@

remove dup line; from j@bitminer

use the always serializing RDTSCP instruction in tsc and usertc if available

tweaks from cheloha@; ok deraadt@, sthen@, cheloha@

Call amd64_errata() from cpu_fix_msrs() instead of identifycpu() so that
on resume, the errata is re-applied.
In addition make amd64_errata() print the information about the applied
errata only once for the first CPU.

input from jsg@ and deraadt@, ok deraadt@

Distinguish between retransmit ok and nothing to retransmit.  This makes
sure ikes_retransmit_response events don't also increase the
ikes_msg_rcvd_busy counter.

ok markus@

Fix typo.  From AlexanderStohr via github PR#343.

The values for fib_priority are OS dependent. To help portability move
the RTP_BGP and similar defines all into kroute.c and export them via
kr_default_prio() and kr_check_prio().
OK tb@

tzset: ignore TZ if it contains an absolute path or issetugid().
Reading time zone files from user-controlled paths can result in
pledge(2) or unveil(2) violations.  We also ignore files that contain
a '.' character to avoid paths containing ".." or hidden files.
Work with and OK deraadt@

Tweak symbols test in such a way that it would have caught the recent
Symbols.list mistake: undefine aliases (except _cfb block ciphers which
are aliases for historical reasons). Use -Wl,--no-allow-shlib-undefined.

Adjust pathid_assign() to be much faster in the common case.

Use a per peer path_id_tx to assign to paths received from none add-path
enabled peers. This skips two extra walks of the RIB prefix list and is
a big speed-up when there are many regular sessions. If the session uses
add-path recv then the old way of assigning random path_ids needs to be
used.

With input and OK tb@

Revert UVM_VNODE_CANPERSIST removal, it exposes an issue on arm64.

Found the hardway by miod@ and deraadt@.

Default request message body size should be 0.

ok claudio

Update awk to Sep 12, 2022 version.
Fix undefined behavior and a use-after-free in cat().

Update libexpat to 2.4.9.  This fixes CVE-2022-40674.  Relevant for
OpenBSD are security fixes #629 #640 and other changes #610 #643.
No library bump necessary.
OK deraadt@

Split out handling of cpu family specific MSRs from cpu_init_msrs()
to a separate function that gets called after identifycpu() so that
we have the required information to handle the correct MSRs for each
cpu.

Additionally, move the handling of the DE_CFG_SERIALIZE_LFENCE and
IA32_DEBUG_INTERFACE_LOCK MSRs out of identifycpu() to the new
function so that they get set again after a suspend/resume cycle as
well, which in fixes TSC sync failures.

discussed with and input from deraadt@, mlarkin@

drm/amd/amdgpu: skip ucode loading if ucode_size == 0

From Chengming Gui
985a5d3d491d558f785b77cc5b86837bfa408587 in linux 5.15.y/5.15.69
39c84b8e929dbd4f63be7e04bf1a2bcd92b44177 in mainline linux

Remove unused and unimplemented unp_drain().

ok bluhm@

Fix line length trimming in -f mode

Reported by Christian Weisgerber

OK kn@

Reword comment, no functional change

remove HY_D1_G34R1 enum value and just use HY_D1

HY-D1 C32r1 (0x00100f81) and HY-D1 G34r1 (0x00100f91) have the same
errata and multiple cpuid values can map to a single enum value.

add RequiredRSASize to the list of keywords accepted by -o;
spotted by jmc@

Remove now-unused connect_wait() function.

Add iked connection statistics for successful and failed connections, common
error types and other events that help analyze errors in larger setups.
The counters can be printed with 'ikectl show stats'.

ok bluhm@ patrick@
from and ok markus@

Change OF_getnodebyname() such that looking up a node using just the name
without a unit number (so without the @1234 bit) works as well.

This is a re-commit of the backed out change with the endless loop fixed.

Symlink chosen time zone file to /etc/localtime so that we don't need
to use a time zone path that's not relative to /usr/share/zoneinfo.
Hopefully we can limit tzset(3) to only look at zone info files in
/usr/share/zoneinfo, soon.
OK millert, deraadt

When setting time, date(1) pledges "wpath" for logwtmp(3). Restrict
this using unveil(2), but ignore errors if /var/log doesn't exist. We
want to be able to set the time if the system is damanged or /var is
not mounted yet.
We also need to unveil everything for reading since we still allow
arbitrary locations of zone info files. Hopefully that will go away
soon.
OK deraadt

adjust notes for linker set change
ok miod@ deraadt@

Remove PKCS12_MAKE_{,SH}KEYBAG from Symbols.list

These functions were renamed in the last bump

#define PKCS12_MAKE_KEYBAG      PKCS12_SAFEBAG_create0_p8inf                                        #define PKCS12_MAKE_SHKEYBAG    PKCS12_SAFEBAG_create_pkcs8_encrypt

They don't appear in the compiled library itself, so no further bump
required.

Fixes libressl-portable/portable#791

Found the hard way by vollkommenheit
ok deraadt jsing

use users-groups-by-id@openssh.com sftp-server extension (when
available) to fill in user/group names for directory listings.
Implement a client-side cache of see uid/gid=>user/group names.
ok markus@

sftp client library support for users-groups-by-id@openssh.com;
ok markus@

extend sftp-common.c:extend ls_file() to support supplied user/group
names; ok markus@

sftp-server(8): add a "users-groups-by-id@openssh.com" extension
request that allows the client to obtain user/group names that
correspond to a set of uids/gids.

Will be used to make directory listings more useful and consistent
in sftp(1).

ok markus@

better debugging for connect_next()

update set sizes

Define PMU_ADB_CMD and PMU_INT_ACK

Taking these definitions from NetBSD's pm_direct.h; most PMU_*
commands have the same names in the BSDs and Linux.

ok miod@ kettenis@

Fix a memory leak which was introduced by the previous commit.

The issue was reported by Stephan Somogyi - Thanks!

timecounting: tc_reset_quality: print notice if active counter changes

Give the user a hint as to what happened if they boot up and the TSC
is not the active counter.

"sure" deraadt@

tsc: make tsc_report_test_results() less noisy without TSC_DEBUG

By default, just say "tsc: cpu0/cpuN: sync test failed".  If you want
more information you need to recompile with TSC_DEBUG set.

While here, disable TSC_DEBUG.

"sure" deraadt@

Revert previous it prevents the PinebookPro and the Rockpro64 to reach userland.

Found by kn@ and myself, ok deraadt@

Allow TLSv1.3 clients to send CCS without middlebox compatibility mode.

While RFC 8446 is clear about what legacy session identifiers can be sent
by a TLSv1.3 client and how middlebox compatibility mode is requested, it
is delightfully vague about the circumstances under which a client is
permitted to send CCS messages. While it does not make sense for a client
to send CCS messages when they are not requesting middlebox compatibility
mode, it is not strictly forbidden by the RFC and at least one (unknown)
TLSv1.3 stack has been observed to do this in the wild.

Revert part of the previous change and allow clients to send CCS messages,
even if they are not requesting middlebox compatibility mode.

Found the hard way by florian@

ok tb@

Link to SSL_read_early_data(3)

OK tb

bind/connect is now expected to succeed

bind() to AF_UNIX will now require unveil "w".  "w" may seem a little odd
(and it may seem it should be "r" to get access to the file to collect
the underlying socket, which is fully r/w in a non-file way).  But this
matches the POSIX spec that the file be 'writeable'.  The regress test
and daemons have been updated for this behaviour.
Gap discovered by martijn, long discussions with benno

add some notes on common pytest arguments

tweaks; from jan stary

Add RequiredRSASize for sshd(8); RSA keys that fall beneath this limit
will be ignored for user and host-based authentication.

Feedback deraadt@ ok markus@

add a RequiredRSASize for checking RSA key length in ssh(1).
User authentication keys that fall beneath this limit will be
ignored. If a host presents a host key beneath this limit then
the connection will be terminated (unfortunately there are no
fallbacks in the protocol for host authentication).

feedback deraadt, Dmitry Belyavskiy; ok markus@

Show time zone name and offset in clock border if TZ environment
variable is set. This is useful when running multiple clocks in
different time zones.
From James Russell Stickney (jrs AT outband.net), tweaked by me.
Input & OK kn

Add a sshkey_check_rsa_length() call for checking the length of an
RSA key; ok markus@

actually hook up restrict_websafe; the command-line flag was
never actually used. Spotted by Matthew Garrett

Hook up installboot unconditionally, skip on unsupported archs

The list of not yet tested archs is smaller, so follow bsd.regress.mk(5)
advise and just print SKIPPED on those.

move most of the key combination translation code out of ukbd(4)
to hidkbd so that it can be re-used by apldc(4) and aplhidev(4) as well

this also adds support for apple fn key combinations to aplhidev(4)

ok miod@

semctl1 and msgctl were introduced for binary compatibility for OpenBSD 3.5.
They are no longer needed.
OK bluhm@

Make mfii(4) recover from firmware FAULT state on startup.

In case firmware initially comes up in FAULT state, reset the device and
give it one more chance to attach successfully. The Linux megaraid_sas
driver applies the same workaround in this case. There seems to be a bug
in some firmware versions which can trigger this behaviour; see mainline
Linux commit 6431f5d7c6025f8b007af06ea090de308f7e6881

Problem observed by me with mfii(4) attached via KVM PCI-passthrough:
mfii0 at pci0 dev 2 function 0 "Symbios Logic MegaRAID SAS2208" rev 0x05: msi
mfii0: firmware fault

With this workaround in place, attachment succeeds and the device works:
mfii0 at pci0 dev 2 function 0 "Symbios Logic MegaRAID SAS2208" rev 0x05: msi
mfii0: firmware fault; attempting full device reset, this can take some time
mfii0: "RAID Ctrl SAS 6G 1GB (D3116C)", firmware 23.29.0-0019, 1024MB cache

Tested for regressions on bare metal by Hrvoje with two different adapters:
mfii0 at pci1 dev 0 function 0 "Symbios Logic MegaRAID SAS3508" rev 0x01: msi
mfii0: "PERC H740P Mini ", firmware 51.16.0-4076, 8192MB cache
mfii0 at pci4 dev 0 function 0 "Symbios Logic MegaRAID SAS2208" rev 0x05: msi
mfii0: "ServeRAID M5110", firmware 23.34.0-0023, 512MB cache

ok jmatthew@

correct error value

sftp: Be a bit more clever about completions

There are commands (e.g. "get" or "put") that accept two
arguments, a local path and a remote path. However, the way
current completion is written doesn't take this distinction into
account and always completes remote or local paths.

By expanding CMD struct and "cmds" array this distinction can be
reflected and with small adjustment to completer code the correct
path can be completed.

By Michal Privoznik, ok dtucker@

sftp: Don't attempt to complete arguments for non-existent commands

If user entered a non-existent command (e.g. because they made a
typo) there is no point in trying to complete its arguments. Skip
calling complete_match() if that's the case.

From Michal Privoznik