local user can cause smtpd to fail by sending invalid imsg to control sock

The correct semantic is to check msgbuf_write() for <= 0, not just < 0.
Fix one occurence in imsg_flush() and clarify it the man page.

Discussed with at least blambert@ jsg@ yasuoka@.

OK gilles@

Use "compliant" header guards by avoiding the reserved '_' namespace.

Pointed out by Markus Elfring

OK mikeb@ millert@

sync

Fix CVE-2012-3509, an integer overflow in libiberty, leading to
heap-buffer overflow.
From Sebastian Trahm;  OK deraadt@

In the copyout family of functions, if the address is out of range
ensure the register containing the proc pointer is initialized.
ok miod

Remove hzto(9) manual pages and references;  OK dlg

Move hzto(9) to the attic;  OK dlg

Avoid an infinite loop that can occur when verifying a message with an
unknown hash function OID.

Diff based on OpenSSL.

Fixes CVE-2015-1792 (however, this code is not enabled/built in LibreSSL).

ok doug@ miod@

Convert from hzto(9) to tvtohz(9);  OK dlg

Move away from using hzto(9);  OK dlg

Avoid a potential out-of-bounds read in X509_cmp_time(), due to missing
length checks.

Diff based on changes in OpenSSL.

Fixes CVE-2015-1789.

ok doug@

Avoid an infinite loop that can be triggered by parsing an ASN.1
ECParameters structure that has a specially malformed binary polynomial
field.

Issue reported by Joseph Barr-Pixton and fix based on OpenSSL.

Fixes CVE-2015-1788.

ok doug@ miod@

Don't do manual whitespace adjustments inside semantic macros,
rather do it before the macros, and get rid of cargo cult escaping.
Both to make the code more robust and less ugly, no output change.
Ugly code reported by TJ at mrsk dot me.
OK jmc@

convert sc_sendq into an mbuf_list, and use ph_cookie rather than rcvif to
store the sgl address, allowing rcvif to be removed.

ok mpi@ dlg@ uebayasi@

Avoid double-free in error path by cribbing the HASBUF flag
logic from the rest of the kernel that deals with filename
lookups.

In snaps for some time.

Initially found by jsg@
Prodded by deraadt@

remove uneeded pci includes

breath->breadth

Typos: equalivant, fucntion, libary.

Don't claim the autri(4) driver supports big-ending, signed 8-bit,
or unsigned 16-bit samples. Fixes sound on big endian machines.

Use first 4 channels of the board. The previous channel setting
caused DMA on the wrong memory location during recording.

ok kettenis@

Do not set "rcvif", if_input() does it for us.

Found the hardway by krw@ trying a diff that kills "rcvif".

ok stsp@

wp->tty is a char [] not a char * so it can't be NULL. From Thomas Adam.

Export new pf "no-route" error counter

OK sthen, blambert for the SNMP part

Add missing include.

FTP as an install method kicked the bucket some time ago.

ok miod@

Remove unused parameter of load_locale_sub(). No assembly change on i386.
Diff from Sebastien Marie. objdump foo help from uwe

add miniroot; note it's not further documented to prevent having to
reword/rewrite most of it again when usb support has landed.

add the edgerouter poe to the edgeroute lite paragraph

miniroot for octeon; tested on edgerouter lite with local usb storage

ok jmatthew@ miod@

Remove the hack to check if the received pointer has changed in an ifih
now that all drivers and pseudo-drivers are using if_input().

if_input() is reentrant and is now the only place where we set `rcvif'.

Convert trunk(4) to if_input().

ok dlg@

plug fd leak found by Todd Mortimer

ok claudio deraadt florian

Fix loop comparison broken in last commit, from Thomas Adam.

More damned eye searing whitespace. No change to .o files.

expr isn't on the ramdisk use ksh for addition
problem spotted by jasper@

Move the scan_dmesg calls back into the functions.  It can't be called
when the file is sourced as /var/run/dmesg.boot won't exist then.

Introduce a state on the ctl_relay_event struct. This makes it possible
to better track the connection state of a session and stops doing double
opens in certain situations using http relays. Using a state field to
simplify the logic since relay_connect() is called multiple times.
OK benno@, bluhm@ and running in production for more than a week

enable agtimer on the ramdisk as well

At some point arm moved to a unified syntax for arm and thumb instructions.
While binutils supports both "unified" and "divided" syntax (defaulting
to divided) the integrated assembler in clang only supports unified names
so switch some files to unified syntax.  Similiar changes were made in
bitrig and freebsd.  No difference in objdump -d output.

tested on zaurus by deraadt@, ok miod@

Merge multiple copies of the code doing VLAN tag insertion back into
vlan_start().

ok sthen@, phessler@

Move carp-related logic from ether_output() into carp_start().

ok sthen@, phessler@

Update documentation for lang/go module

OK sthen@

rearrange delayed_work to avoid the use of container_of while leaving it in
more or less the same shape.

ok uebayasi@

pms(4): Don't match Elantech v4 devices with firmware versions 0xX7XXXX.
Apparently we don't support these touchpads properly so leave them in
PS/2 compat mode. Regression reported by Remi Locherer on bugs@. And stop
matching devices with firmware versions higher than 0xX8XXXX since we cannot
be sure they work.
ok mpi@

Add initial support for the ARM Versatile Express boards as emulated by
qemu with virtio memory ranges.

Unfortunately the vexpress-a9 and vexpress-a15 boards/targets have
different load addresses and memory maps.

Code for the PL011 UART and mmio virtio attachment from Patrick Wildt
in bitrig.

refuse to do polled isochronous transfers, as other usb controller drivers do

requested by mpi@

Ensure polled bulk, control and interrupt transfers actually poll, fixing
panics on shutdown with various usb sticks.

ok mpi@

Add -E flag when attaching or switching client to bypass
update-environment, from Steven Lu.

HBG is no more so no need to mention it in the man pages.
OK jmc@

The Swiss Federal Government decided to shut down HBG at the end of 2011.
On 6 September 2012 at 12:02:00 UTC both antenna towers were demolished by
controlled explosives. So this is not coming back and we can tedu the
support for HBG form the DCF77 drivers.
Remided by mbalmer

More damned eye searing whitespace.

sync

Initial exynos4 bits.  Among other things the gic isn't mapped correctly
on exynos4/5 yet as it isn't at the usual offset from periphbase.
ok bmercer@

Add a default panic case to a switch statement where code after assumes
one of the cases was reached.  Matches other parts of the mpbios code.

Introduce unhandled_af() for cases where code conditionally does
something based on an address family and later assumes one of the paths
was taken.  This was initially just calls to panic until guenther
suggested a function to reduce the amount of strings needed.

This reduces the amount of noise with static analysers and acts
as a sanity check.

ok guenther@ bluhm@

mark the usb hci driver pci glue code as only needed by the pci attachment,
not all usb controllers.

this lets jsg build ehci on a platform that lacks a pci bus.
ok jsg@

Add CR4_FSGSBASE

Enable use of mwait in non-MP boxes and report # of C-substates up to C7,
truncating trailing zeros.

Testing by many as part of a larger change to use ACPI _CST objects
ok krw@

Replace a bunch of == 0 with == NULL in pointer tests. Nuke some
annoying trailing, leading and embedded whitespace. No change to
.o files.

ok deraadt@

Add some changes from Patrick Wildt in bitrig that are required to make
the qemu cortex a15 useable without trustzone.

Establish the interrupt for the non-secure physical timer (30), in
addition to the secure physical timer (29).

Stop masking the timer output signal in the interrupt handler.

Allow rtsol keyword in hostname.if(5) with net.inet6.ip6.forwarding=1.
"inet6 autoconf" was working before and rtsol should behave the same.
OK phessler

Enable rtwn(4) on RAMDISK_CD kernels for upgrades. ok deraadt

Put the link-layer address back into the gateway field of RTF_LOCAL
routes.

Since such routes are also flagged with RTF_LLINFO various code path
assume correctly that they contain valid ARP or ND information.

This fixes the "arpresolve: unresolved and rt_expire == 0" issue
reported on tech@ by mxb <mxb AT alumni DOT chalmers DOT se>.

ok claudio@, phessler@

Add rtwn(4) to fw_update. ok espie@, czarkoff@ suggested a similar diff

Use ints for the calculations rather than u_char, they could end up
signed.

Handle the RGB colour escape sequence (\033[38;2;<r>;<g>;<b>m and 48;2)
like xterm(1) does, by mapping to the nearest in the 256 colour palette.

Use fixed colour tables rather than generated and do a quick search for
exact match before doing the distance comparison.

Link ssl and crypto via BSDOBJDIR, works with native and cross builds

ok mpi@

Use target BSDOBJDIR when cross-compiling libraries

ok mpi@

Fix library search path so we link against the freshly built libcrypto.so
instead of a stale one.

ok miod@ mpi@

Try harder to avoid (very unlikely) NULL pointer de-ref by tweaking
code to use sotopf() like tcp_usrreq() does. Also following
tcp_usrreq(), put more stuff under splsoftnet. And as a result
in-line code in udp_detach() and nuke udp_detach().

Most ideas from and ok mikeb@

And ... more discussion occurs between miod and kettenis about
what register dance copyerr should do.....

And part 2 of the onfault repair.  Do the actual clearing of pcb_onfault
in copyerr itself, like other architectures of this type do.
as a result of chatter between miod and kettenis

Similarly, for sessions use a callback to free rather than checking
every loop.

Missing no-pie logic for bootblocks.

Change deref to the more sensible unref, and add a couple I missed before.

Instead of putting dead clients on a list and checking it every loop,
use event_once to queue a callback to deal with them. Also dead clients
with references would never actually be freed because the wrap-up
functions (the callback for stdin, or status_prompt_clear) would never
be called. So call them in server_client_lost.

Do not unconditionally clear pcb_onfault after a uvm_fault.  That will
permit the active copyout/copyin to continue work on subsequent faulting
pages and not misinterpret & fault them as kernel bcopy against userland
addresses.  Old bug -- fall of 1996.  This should fix getentropy issues
on MP systems which have become more apparent recently, probably due to
some combo of increased ASLR with unlocked getentropy happening very soon
after vfork/fork...
ok miod

these days, curproc is never NULL, so skip those checks.
Discussed with kettenis

trunc_page() generally.... succeeds at clearing the page offset
bits the first time it is called, so don't do it again.
ok miod

These days p->p_addr will never be NULL.

ok deraadt@

For "ssh -L 12345:/tmp/sock" don't fail with "No forward host name."
(we have a path, not a host name).  Based on a diff from Jared Yanovich.
OK djm@

Do not use the key variable uninitialized (in a debug log statement),
reported by jungleboogie0 at gmail dot com.

Fix coupling and decoupling operations.

With help and ok from mikeb@

Improve error handling and recovery during state insertion

Reshuffle the code around a bit and greatly improve error handling
fixing a few bugs along the way.

Problem reported by and fix was written with Alexandr Nedvedicky.
OK henning

Add bits missed in previous... I suck at cvs.

Put spaces and commas where they belong.

Finally protect VP lookups to guarantee that a pted won't be freed or
reused by a CPU while another CPU is manipulating it.

This races occurs because the virtual spill handlers are run without
taking the KERNEL_LOCK for obvious reasons.  So use a per-pmap mutex
that CPUs must hold when modifying a pted in order to guarantee the
atomicity of operations *and* the coherence between pmap VPs tree and
what's in the HASH.

Thanks to dlg@ for assisting me debugging this.  This change ends your
PowerPC pmap SMP show of the week.  GENERIC.MP on macppc should now be
stable enough to build ports without corrupting its own memory.

ok kettenis@, deraadt@, dlg@

Don't try to be clever when unrolling the loop in pmap_remove().

Needed for upcoming locking.

Replace the per-entry locks by a global HASH lock.

Since this lock is recursive we can now guarantee the atomicity of
pte_inser{32,64}() when a pted has to be removed first.  This fixes
one of the races.

Using a __mp_lock here also allowed dlg@ to provide me useful traces
to fix the next race.  Thanks for your help!

ok kettenis@, deraadt@, dlg@

Call pte_spill_v() from the real mode fault handler instead of rerolling
it.  This will reduce the number of places to audit for locking.

Note that for profiling purposes pte_spill_v() is now marked a __noprof
since per-CPU profiling buffers are not guaranteed to be 1:1 mapped and
cannot be accessed from the real mode fault handler.

ok kettenis@, deraadt@, dlg@

Rewrite PTE manipulation routines to better match the PEM.

Document every operation, make sure to call "sync" when appropriate so
that other CPUs see the bit changes and finally grab a lock where it was
missing to grantee atomicity.

ok kettenis@, deraadt@, dlg@

Split pteclrbits() into pmap_{test,clear}_attrs().

This should not introduce any behavior change but makes the code easier
to read and later easier to protect.  This also brings this pmap closer
to what others do.

Thanks to kettenis@ for spotting a bad typo!

ok kettenis@, deraadt@, dlg@

More usages of pmap_ptedinhash().

If you wonder why pte_insert{32,64}() is not using pmap_hash_remove() if
it finds a conflicting PTE in the HASH, it's because in the current state
trying to grab the same lock a second time would lead to a deadlock.

This is much easier to reproduce on G5 (or G4 with BAT disabled).

ok kettenis@, deraadt@, dlg@

Remove DEBUG stuff.

Make use of ptesr() instead of rerolling it.

Merge various copies of the same code into a new function to determine
if a PTE is present in the HASH.

Note that atomicity is currently not guaranteed between this check and
the following operations.

ok kettenis@, deraadt@, dlg@

Introduce pmap_pted_ro() a simple wrapper for the 32/64 bits versions
that does not call pmap_vp_lookup().

Carreful readers would have notice the removal of the bits on the virtual
address with a page mask, this change allows me to find the 13 years old
bug fixed in r1.145.

ok kettenis@, deraadt@, dlg@

Do only one VP lookup when removing a page.

This simplify pmap_remove() & friends by re-using an already fetched PTE
descriptor.

There's currently a race on MP system where one CPU can reuse a pted
while another one is still trying to insert it in the HASH.  This commit
starts reducing the number of pmap_vp_lookup() calls to help fix this
race.

ok kettenis@, deraadt@, dlg@