Mark fatal() as printf-like.
Don't put a format string that's only used once in a variable.

Flense the telnet code base of unwanted ifdefs: authentication/encryption
tn3270, sgtty, pre-POSIX and other ancient system support, etc.  Brings up
to date the manpage with what we support.

ok matthieu@ beck@ jmc@ millert@ deraadt@ okan@

Print a warning message if the files with the random seed are not
writeable during shutdown.  This prevents ugly error messages when
the machine is rebooted from singe-user without mounting the file
systems read-write.
suggested by deraadt@

Explicitely check the value of REGRESS_SKIP_SLOW rather than its emptyness,
for it defaults to a non-empty value; Doug Hogan

Make sure struct sockaddr_in gets completely initialized by setting it to zero
before setting the few fields we are interested in; Doug Hogan

Bring back pci_dopm, but disable it before powerdown.

This fixes both the Lemote reboot issue and the USB issue on the
Gdium's that miod@ spotted.

Suggested by kettenis@, thanks!

Okay miod@

remove disabled main hook; we use phdr now; ok bcook

arc4random re-seeds with getentropy() now; ok deraadt@ jmc@

tab love

Move _ARC4_ATFORK handlers from thread_private.h in portable.

move _ARC4_LOCK/UNLOCK primitives from thread_private into OS-specific modules

Security fix:
Validate the manpath up front and report a Bad Request if it is not
listed in manpath.conf, such that clients can't probe which directories
exist on the server.  In case of configuration errors, consistently
report Internal Server Error without disclosing any further information.

Partially based on a patch from Sebastien Marie <semarie-openbsd at
latrappe dot fr>, but avoiding a couple of issues with that patch
and approaching the issue in a somewhat more rigorous way.

fixup typos

Backout pci_dopm usage as it also breaks reboot on Lemote's.

Noticed by matthieu@.

Security fix:
Validate the name of the file to show before opening it.
Only allow relative filenames starting with "man" or "cat"
and containing neither "/.." nor "../".

While here, correct the condition discarding an initial "./".

Vulnerability found by Sebastien Marie <semarie-openbsd at latrappe dot fr>.
Many thanks for sending a patch; however, i did not use it but made the
checks even stricter.

Document that abort() is async signal safe now that it doesn't flush
stdio buffers

While here replace "SUSv[67]" with "POSIX Issue [67]" and update
signal(3) to mention that pselect() and ppoll() are async signal safe
like sigaction(2) already does.

ok guenther

actually use the cve match_location correctly.
problem noticed by aja@

miod pointed out i forgot which way round casts go.

Fix strtonum range to unbreak -pass fd:0

ok deraadt@

Change _rs_allocate so it can combine the two regions (rs and rsx)
into one if a system has an awesome getentropy().  In that case it
is valid to totally throw away the rsx state in the child.  If the
getentropy() is not very good and has a lazy reseed operation, this
combining is a bad idea, and the reseed should probably continue to
use the "something old, something new" mix.  _rs_allocate() can
accomodate either method, but not on the fly.
ok matthew

The pf forward tests were running rdr-to and nat-to simultaneously
only.  Change address layout and add individual tests for each
feature rdr-to and nat-to and rdr-to together with nat-to.

Cleanup portable arc4random fork detection code:

1. Use "len" parameter instead of sizeof(*rs).

2. Simplify the atfork handler to be strictly async signal safe by
simply writing to a global volatile sig_atomic_t object, and then
checking for this in _rs_forkdetect().  (Idea from discussions with
Szabolcs Nagy and Rich Felker.)

3. Use memset(rs, 0, sizeof(*rs)) to match OpenBSD's MAP_INHERIT_ZERO
fork semantics to avoid any skew in behavior across platforms.

ok deraadt

sync

Oops, getentropy() is an "extension interface", not a "base interface"

Also, update the async signal safe list in signal(3) too (reminded by
deraadt)

Document that getentropy() is async signal safe.

Pointed out by Jean-Philippe Ouellet

Do not use the HTTP_HOST CGI variable,
just make the HTTP redirect Location: relative.
Less user input is good, it reduces the attack surface.
Besides, this removes one global variable and 4 lines of code.

Patch from Sebastien Marie <semarie-openbsd at latrappe dot fr>.

Since syslog messages are now sent via the sendsyslog(2) system call,
we no longer need the spread of dev/log AF_UNIX sockets all over the
various chroot spaces.
ok beck millert aja

As discussed with beck, tweak the wording for getentropy slightly so
that a certain kind of people don't go bonkers over "what is entropy".
it is what it is, input to PRNG's.

ugly ugly whitespace

missing newline

fix sorted output

When the MAN_DIR/manpath.conf configuration file does not exist or is empty,
log the problem, hand the pg_error_internal() error page to the client,
and exit(3) in a controlled way instead of stumbling on and segfaulting
later.

Patch from Sebastien Marie <semarie-openbsd at latrappe dot fr>,
messages tweaked by me.

Fix privsep.c.  Call missing imsg_free() after imsg_get().  Also add
missing #include <net/if.h> to use IFNAMESIZ and replace some strncmp()
by startswith().

atomic_swap_ptr is special.

for jmatthew@

Follow the recent addition of /usr/local/lib/pkgconfig and add
/usr/local/share/pkgconfig

ok sthen@

Cleanups:
- links are already ignored when creating the sums
- better CVSID match

pass atomic_{cas,swap}_uint a volatile void * instead of a volatile
void **. the latter is really hard to cast for, and not what what
solaris does.

ok kettenis@

implement 'rootdev' parsing similar to what's already done in the kernel,
but this time for bootdev(). defaults to octcf0a if all else fails.

Remove "const" from the lsearch(3) manual's synopsis too.

Reminded by Rafael Neves

implement EFBIG handling for heavily fragmented packets on the tx path.

ok claudio@

zap trailing whitespace;

Change lsearch()'s "base" argument to require a non-const pointer to
align with POSIX and other systems.

Pointed out by Elliott Hughes on tech
ok deraadt

restore umask around listener socket creation (dropped in streamlocal patch
merge)

Seperate arc4random's os-dependent parts into static inline functions,
making it much easier for libressl -portable to fill in the gaps.
ok bcook beck

avoid errx(); Jonas Termansen

avoid sys/param.h; Jonas Termansen

it is 2014, and we still need to encourage people away from srand()
and random().  Sigh.

files-to-dump can be a duid;
From: Maximilian Fillinger

Rework management of the external L2 cache on the few Indy/Indigo2 systems
which have it.

Instead of implementing external L2 maintainance at the cache routine level,
let bus_dmamap_sync(9) know about the possible existence of an external L2,
and invoke a dedicated routine to perform the necessary cache operations.

This way, the external L2 dmamap_sync function pointer can get invoked with
the physical address to operate on; this saves the pmap_extract() calls the
previous cache routine had to do.

match current permissions

sh netstart, instead of using .
We don't want any of the variables created inside netstart to infect the
rc script.
ok claudio sthen aja

Unbreak after the rc_do->_rc_do and rc_wait->_rc_wait renaming.
If someone wants to take a shot a modifying this rc script so that it does
not use internal rc.subr functions, be my guest...

spotted by jsg@

"Race-free because we're running single-threaded in a new
address space, and once allocated rs is never deallocated."
document the forkhandler to save reviewers time, with matthew

zero random buf for sysctl too, just in case

zero entropy buf

add optional keywords all over the place, and some missing files.
likely to be more changes here to match the new layout.
ok ingo aja

Turn the console code into regular cons_decl() ones, to better fit libsa
getchar/putchar and be able to link again. Crank minor version.

interrupt handlers established via the ioapic didnt get their
ih_flags set. ih_flags are used by the intr_handler() code to
determine if the kernel lock should be taken or not.

because the flags werent set, random memory was used instead which
in turn meant you sometimes didnt have the biglock when running
interrupt handlers which relied on it. races ahoy.

this was found by jmatthew@ while helping me try to figure out why
bnx was blowing up and causing double frees and use after frees.
turns out bnx was the smoke for this fire.

sorry it took so long.

ok kettenis@ sthen@
sthen@ seems happy to have the i386 ports build machine working again.

immidiatelly -> immediately

Move comment about strcasecmp() to a more suitable spot.
ok reyk benno

Missing bounds check in ssl3_get_certificate_request(), was not spotted in
1.78; reported by Ilja Van Sprundel.

Fix typo in example httpd config which caused error on startup.
/etc/httpd.conf:8: failed to add media type
ok reyk

No more /var/db/sysmerge

reflect stdio-forward ("ssh -W host:port ...") failures in exit status.
previously we were always returning 0. bz#2255 reported by Brendan
Germain; ok dtucker

Free sktmp when it's no longer needed. By doing so, we fix a bunch of memory leaks.

From miod@

OK from miod@ and guenther@

Convert a couple calloc()s that were originally malloc()s to reallocarray()s.
The child after fork() should use _exit() instead of exit().
Fix comment typo.

ok millert@

URL move; Jean-Philippe Ouellet

silence "incorrect passphrase" error spam; reported and ok dtucker@

ifdef SYS_sendsyslog so this will compile without patching on -stable

preserve errno across syscall

zap trailing newlines; "go for it" deraadt

zap trailing newlines; "go for it" deraadt

zap trailing newlines; "go for it" deraadt

zap trailing newlines; "go for it" deraadt

zap trailing newlines; "go for it" deraadt

zap trailing newlines; "go for it" deraadt

zap trailing newlines; "go for it" deraadt

zap trailing newlines; "go for it" deraadt

zap trailing newlines; "go for it" deraadt

zap trailing newlines; "go for it" deraadt

zap trailing newlines; "go for it" deraadt

remove ancient unused NOGZIP support

base vs etc set management is the trickiest.  Explain the current rules
that govern the split.

Save and restore NVS ranges when hibernating, as per The Spec.

ok kettenis@, deraadt@

Fix tlsext_tick_lifetime_hint value in test #2 to make sure the
(tlsext_tick_lifetime_hint > 0) test also passes on 32-bit platforms
(tlsext_tick_lifetime_hint is a long).

Do not set pci_dopm to 1 on the Gdium; if we do, rebooting puts the USB HCI in
a state PMON doesn't expect, and can't recover from.

invert the description describing calendar, since it is run by default
(so we tell folk how to stop it);

replace beforeinstall target with LINKS; rot13 becomes a hardlink to
caesar instead of a symlink.

agreed by deraadt, sobrado, guenther

Handle the sysmerge move.

sync

prefer ln -f over rm + ln

OK deraadt

Add mpbios(4).  This fixes hw.ncpufound in bsd.rd on the Soekris net6501
and thus the choice of bsd.mp in the installer.  ok kettenis@

sync

add the streamlocal* options to ssh's -o list; millert says they're
irrelevant for scp/sftp;

ok markus millert

no more /etc/disklabels (ironically making my previous commit to this
file redundant);

use /bin/sh instead of /bin/ksh and add cvs id.

OK deraadt

Only call getauxval(3) if HAVE_GETAUXVAL is defined.  Fixes build on older
Linux (such as Ubuntu 12.04LTS) that don't have it yet.  Seems the AT_XXX
defines are pulled in by <link.h> now.

ok beck@

no more html/milter;

no more html/curses (i'm effectively undoing -r1.10);

convert to new readable format; requesting post-commit review by ingo