Zap the rotor, it was a wrong idea. Cluebat applied by kshe who
came also up with this diff. Simple, no bias and benchmarks show the extra
random calls disappear in te measurement noise.

Sorry, the PIC macros cannot reach to .rodata....

Remove quirk matching all Yamaha devices, as this prevents non-MIDI
devices from attaching (ex uaudio devices).

ok mpi

While booting it does not make sense to wait for memory, there is
no other process which could free it.  Better panic in malloc(9)
or pool_get(9) instead of sleeping forever.
tested by visa@ patrick@ Jan Klemkow
suggested by kettenis@;  OK deraadt@

Make URL redirection sticky in the installer

Ensures that when URL redirection takes place, the rest of the install/upgrade
session will stick to that redirected location. This should help ensure that
the fetched set of files is coherent when a load balancer emits 301/302.

With feedback from rpe@

OK sthen@ rpe@

Discard all but the last line when reading from a #() command - the
callback is just going to be fired again straight away to go through all
the lines, it is better just to use the last one straight away.

Make the installer use the multiprocessor kernel if there is more
than one core available.

When bsd.mp is used, bsd.sp is not copied to the boot partition.
Old installations might not have enough space for all bsd.mp, bsd.sp
and bsd.rd.

OK deraadt@, krw@, pirofti@

Fix the computation of `ncpusfound' on !MULTIPROCESSOR kernels so that
the value matches with the number of cores that GENERIC.MP uses.

OK deraadt@, krw@, pirofti@

Fix an off-by-one uncovered by the recent free(9) change

From canacar@, thanks!

Mark up mount(8) options with Cm.

Move to ffs(3) for bitmask scanning. I played with this earlier,
but at that time ffs function calls were generated instead of the
compiler inlining the code.  Now that ffs is marked protected in
libc this is handled better.  Thanks to kshe who prompted me to
look at this again.

Instead of trying to handle ffs() with the normal rename-mark-hidden-and-alias
dance, mark it protected.  This works better for both gcc and clang: gcc
blocks overriding of internal calls, while clang permits inlining again.

ok otto@

Unlike other archs, mips64 needs ld.so to know about symbol visibility and
skip symbol lookup on protected symbols.  Add visibility #defines to
<sys/exec_elf.h> to support that.

ok kettenis@ visa@

Remove unused hooks_run function, from Thomas Adam.

sync

Add sizes for free() in wscons(4).

OK deraadt@, visa@, mpi@

Found a .data variable that can be in .rodata
ok mibek

In cbus(4) drivers, make it easier to identify which driver is doing
debug printfs about LDC link state changes. No functional change.

ok kettenis@

Remove erreneous and leftover slash that was part of the regex before
we switched to compiled regexes.  Fixes fw_update(1).

Noticed by deraadt@
ok sthen@

Process redirection messages from http.
This will help for round-robin sites in anchoring a pkg_add session to
a single site, thus removing shearing effects.
Initial idea from job@, reworked a lot by me,
enthusiastic okay sthen@

Defend agains branch predictor target injection (Spectre "variant 2")
attacks by flushing the branch predictor cache (BTB) on context switches
and page faults in kkernel address space.  Note that this relies on the
presence of firmware (such as Arm Trusted Firmware) that provides PSCI
services that flush the BTB on entry as described in Arm Trusted Firmware
Security Advisory TFV 6.

ok patrick@, visa@

Implement support for the PSCI_VERSION call and export the function such that
we can use it to defend against branch target injection attacks.

ok patrick@, visa@

Implement basic padding support in libsa so we can do zero-padding
in bootloader printfs.

Feedback from and ok gerhard@

Disable ACPI burst mode on the 2015 Chromebook Pixel, where it freezes.

Diff from jcs@, ok pirofti@

On armv7, remove symbols that are also present in our libc.  Because of the
EABI aliases these can lead to duplicate symbol errors, especially when
mixing code compiled with gcc and clang.  The intention is to revert this
once we convert armv7 to hardfloat.

ok patrick@, guenther@

Introduce internal_warningf() and mark internal_errorf() as noreturn

This helps tools like scan-build, and follows the example of warningf()
and errorf().  ok anton@

g/c unused defines that were only used by nacl's SHA-512 implementation
ok tedu@

Stop constructing the ulimit optstring passed to ksh_getopt() at runtime since
it's rarely subject to change. While here, unifdef RLIMIT_VMEM.

ok jca@

garbage collect an unused variable
ok dlg@

One minor scan-build warning

emacs.c:1041:2: warning: Value stored to 'cp' is never read

Use the monotonic clock to compute the session duration.

Ensures the correct duration is logged even if the system
time is changed during the session.

ok jca@

Fix drawing of ACS characters (they need to go character-at-a-time),
accidentally broken in last commit.

GETTY_SLEEP is 30 seconds, not 10

ok deraadt@

Fix bit.

Fix return value.

Enable traceroute test for incoming reply-to rule.

If pf route-to is used for locally generated packets, they may have
an invalid source address.  As pf route-to happens after IP source
selection based on a different route, the address should be corrected
after pf has allocated the new route.  Especially loopback addresses
must not appear at outgoing packets.
OK sashan@ visa@

Recycle IFF_NOTRAILERS into IFF_STATICARP and document ownerhsip
of IFF* flags.

inputs from jmc@, ok bluhm@, visa@

Add -I to pipe-pane to connect pane stdin as well as stdout, suggested
by Kristof Kovacs in GitHub issue 1186.

VMD: vioscsi - add support for REPORT_LUNS opcode

ok mlarkin@

Add tests that unmount a file system while it is busy.  On a vnd
device "cp -r" and "rm -rf" are working in the background while
"umount -f" or "mount -ur" are executed.  Then "fsck -f" is used
to verify that the file system is clean.
Currently this triggers a bug quite reliably.  After the mount point
has been changed to read-only, the file system check shows that not
everything was flushed and synced properly.

Don't try to open HISTFILE if the variable is unset.

str_val returns null, not NULL, if the variable isn't set.  The
erroneous check means that we later tried to open("").

ok millert@ tb@ anton@ benno@

Switch the inteldrm(4) i2c code over to the Linux code base.  This gives us
several quirks that wre absent in the old OpenBSD-specific reimplementation.
Fixes several issues with external connectors on several generations of
hardware.

ok deraadt@, benno@

mask out (ie. ignore) the bit which will be MAP_STACK in the future,
so diffs in snapshots can exercise the change in a less disruptive way
idea with sthen, ok kettenis tom others

We have no deprecated regress variables in our tree.  Remove the
compatibility layer.

Revert my changes in r1.60 back to nicm@'s latest for now.

Fixes "file *|grep" breakage reported by espie@

ok nicm, deraadt

tabs vs spaces

Another redundant check, GitHub issue 1219.

Some unused code, GitHub issue 1219.

Stop pretending we support building ksh without EDIT/HISTORY support

ok anton@

Improve defense against branch predictor target injection (Spectre "variant 2")
attacks.  OpenBSD/armv7 is already in pretty good shape as we have always
been flushing the branch predictor cache on context switches.  This diff adds
additional flushes to page faults in kernel address space.  The impact on
performance should be minimal as these page faults should only happen when
userland (deliberately or accidentally) tries to access kernel addres space
which would lead to a fatal signal (SIGSEGV or SIGBUS).

Loosely based on changes made by Marc Zyngier in Linux and based on
information in Arm Trusted Firmware Security Advisory TFV 6.

Note that for Cortex-A15 (and Cortex-A72) you will need firmware that sets
the ACTRL[0] bit for this diff to be effective.  Also note that with this
diff Cortex-A57 is still vulnerable.

ok jsg@

There was an issue that dynamic path MTU discovery together with
ARP or ND timeout could delete local routes.  Put an assert into
arptfree() and nd6_free() so this cannot happen again.
OK mpi@

Enable traceroute test for incoming route-to rule.

When pf(4) forwards incoming packets with route-to or reply-to,
decrement the time-to-live or hop-limit field to prevent routing
loops.  Sending an ICMP time exceeded error makes traceroute work.
For outgoing packets ip_forward() has already done this.
OK visa@ sashan@

Add s_server and s_client -tlsextdebug messages

ok sthen@ jsing@

Spacing, no object change.

fix parsing of RDATA for TXT records

ok gilles@

sync

Add some AVX512 CPUID flags.

discussed with sf and kettenis

VMD: vioscsi refactor

Each opcode is now handled in the respective function (vioscsi_handle_xxx)
which allows more functionality to be added easier.

No functional changes confirmed by guest testing.

ok mlarkin@

Link ed regress to build.

Run the tests provided in /usr/src/bin/ed/test with the regress
framework.  Three ed tests are currently failing for unknown reasons.
They are marked as disabled for now.
from Sergey Bronnikov

Add two more ARM EABI aliases that I missed in the previous libc minor
bump.

"just go  ahead -- crank" deraadt@

Make cpu_ucode_debug non static so it can be changed from ddb.
OK patrick@

unifdef BRACE_EXPAND; ok jca@

Prefetched sets are stored by root, but are read by an unprivileged
user during the actual install phase. Add a check to the selection
of the prefetch area to ensure the unprivleged user can read files
from there.

Move the selection logic to its own function prefetcharea_fs_list()
which returns a unique list of candidate filesystems, or with rc=1.
While at it, remove /var/tmp from the potential list of candidates
because it's a symbolic link to /tmp since 2014.

Change install_files() to loop over the candidates and check if it
can read a test file, otherwise clean up and skip this filesystem.

Problem found by benno@ whose upgrade failed due to /usr/obj being
owned by build:wobj and permissions that prevented the unprivileged
user to read the prefetched set files from there.

discussed with and OK benno@ halex@ tb@

Pass our currently configured SSID to iwm(4) scan commands.

This makes connecting to silly "hidden" networks work, which was a long
standing problem with iwm(4). My past observations where other SSIDs were
filtered from scan results while associated can no longer be reproduced.

ok robert phessler

Fix after recent mutex change.

Unlocking the TCP stack resulted in smaller TCP segments sent out
early on some machines.  Use the TCP_NOPUSH socket option to get
reliable regress results and syslogd(8) debug messages for grep.

Use signed values to compare absolute difference.  The variables
fid and cfid are signed, so the FID_TO_VCO_FID() macro creates
signed results.  Keep the sign when passing to abs() although the
implicit conversions created the same binary.
OK deraadt@

Add descriptions for HAVE_B64_NTOP and HAVE_B64_PTON so autoheader
will run.  OK florian@

Make things work when using the official device tree bindings used by the
Linux kernel.

tweak previous;

In ext2fs_write(), clear the buffer on uiomove() failure unless it
was cleared on alloc just like we do in ffs_write().

Add comment describing why we need to clear the buffer if uiomove()
fails, adapted from FreeBSD.  Also avoid clearing the buffer if it
was cleared when allocated.  OK deraadt@ otto@

Adjust comment to reflect '%F' addition.

Define and use IPL_MPFLOOR in our common mutex implementation.

ok kettenis@, visa@

In vldcp(8) fix a race between vldcpread() and vldcp_rx_intr() which
was overlooked by my previous fix.

Keep SPL at TTY in vldcpread() while manipulating the rx queue head.
Otherwise we could end up in a situation where:
1: vldcpread() reads rx_head
2: vldcpread() calls splx()
3: vldcp_rx_intr() fires, finds rx link is down, and sets rx_head = rx_tail
4: vlcdpread() resumes and sets rx_head to the value it read in step 1
-> same interrupt storm problem as described in my previous commit

ok kettenis@ mpi@

Allow printf '%F' format specifier.

ok millert

Add a linux compatible request_firmware() wrapper around loadfirmware(9).
ok deraadt@ kettenis@

add kqueue support to drm(4) by making the drm_sysfs_hotplug_event()
available on OpenBSD well and by notifying listeners of a device
state change using EVFILT_DEVICE and NOTE_CHANGE.

drm_sysfs_hotplug_event() gets called when a state change of the device
occured, like an hdmi cable has been plugged, this in the future will
be used by the modesetting xorg driver to notify desktop environments
via randr events to update their screen configuration

ok kettenis@

introduce a filter called EVFILT_DEVICE that can be used to notify
listeners of device state changes.
currently only supports NOTE_CHANGE that will be used by drm(4)

ok kettenis@

coordinate again: polishing

Add a barrier at the end of pmap_map_early() such that the new mapping is
guaranteed to be available after pmap_map_early() returns.  Fixes a hang
seen with the in-progress SMP work.

ok patrick@

catch up with how formatting of long links was changed
in both groff and mandoc

Remove the implicit display feature of .Lk because it was inconsistent
across output devices, counter-intuitive, and resulted in ugly
output for many real-world manual pages.  Always format even long
links in-line.  I already committed a similar change to groff.

OK jmc@, bentley@, and the original author
of the feature, Werner Lemberg <wl@gnu.org>.

remove unused parameter from the static function print_expansions();
patch from Michael W. Bombardieri <mb at ii dot net>;
OK tb@

clarify authorship; prodded by and ok markus@

have carp use standard detach hooks instead of getting special handling

if_deactivate looked for carp parent interfaces and called carp_ifdetach
to have children interfaces unplug themselves. this diff has the
carp interfaces register detach hooks on the parent instead. the
effect is the same, but using the standard every other interface
uses.

while im here i shuffle the order the hooks carp_set_ifp are
estabilshed so it will fail if they arent allocated.

ok visa@ mpi@

unbreak configurations using carppeers

ip_carp.c r1.322 removed the ability to receive carp protocol packets
on !IFT_CARP interfaces. however, carppeers cause the carp protocol
packets to be directed to a unicast address on another interface,
which definitely is not mapped back to a carp interface.

this brings back the ability to get carp packets on parent interfaces.
it is a bit different to a backout because it only allows carp
parents to be ethernet interfaces.

mpi@ told me carp regress tests were failing.

Add MULTIPROCESSOR basics for arm64.  Enough to build and run a kernel with
option MULTIPROCESSOR on a single CPU.

ok patrick@

Don't bother ucode updates in ramdisk.  We don't have the files....
ok patrick

apostrophe fix;

sync

Do not collect top-bit-set characters in case they need to be replaced.

Simplify character replacement on non-UTF-8 terminals and make a common
function.

Simplify UTF-8 states down into one state.

Use correct size in allocarray() call.

ok patrick@

Runtime services may (and do) use device mappings on some UEFI implementations.
Skip these mappings during the remap-pahse as they are likely to be in
a different 512G bloch as memory and SetVirtualAddressMap() shouldn't need
them.  But do assign a new virtual address and let efi(4) create a mapping.
Add a PMAP_DEVICE flag such that pmap_enter() can continue to be used
to create these mappings.

ok patrick@

Some more tweaks to NOTES

- it's safe to assume that there's no plan to write "an `agent' to
  execute unreadable/setuid/setgid shell scripts"
- the BUG-REPORTS file has been removed
- update the entry for FPATH, ksh93 also documents the described behavior
- kill entry about octal and hex notation in arithmetic expressions
  (supported)
- typos

Feedback from Klemens Nanni