Instead of representing colours in several different forms with various
cell flags, convert to use an int with flags marking 256 or RGB colours
in the top byte (except in cells, which we don't want to make any
bigger). From Brad Town.

Add a ProxyJump ssh_config(5) option and corresponding -J ssh(1)
command-line flag to allow simplified indirection through a
SSH bastion or "jump host".

These options construct a proxy command that connects to the
specified jump host(s) (more than one may be specified) and uses
port-forwarding to establish a connection to the next destination.

This codifies the safest way of indirecting connections through SSH
servers and makes it easy to use.

ok markus@

kern.usermount is currently a no-op;
ok deraadt

Make sure that amap slot calculation does not overflow

This prevents from too small amaps being allocated by
forcing the allocation of a large number of slots.

Based on an analysis from Jesse Hertz and Tim Newsham.

ok kettenis@

sync

kern.usermount=1 is unsafe for everyone, since it allows any non-pledged
program to call the mount/umount system calls.  There is no way any user
can be expected to keep their system safe / reliable with this feature.
Ignore setting to =1, and after release we'll delete the sysctl entirely.
ok lots of people

Drop received packets with an IPv4-compatible address as source or
destination as per RFC4213.

We're not in 1999 anymore, what was earlier a "stronger check than
RFC1933" is now a best practice.  This matches the behavior of the
reject (R) routes added by default by netstart(8).

ok jca@, florian@, claudio@, bluhm@

Do board-specific delay/skew corrections for the Micrel KSZ9021 and KSZ9031
PHYs based on device tree properties instead of the board ID.  Untested as
I don't have the hardware.

ok jsg@, patrick@

Prevent a use-after-free by not updating an ARP entry that has been
removed from the table.

Currently the storage for L2 addresses is freed when an entry is
removed from the table.  That means that we cannot access this
chunk of memory between RTM_DELETE and rtfree(9).

Note that this doesn't apply to MPLS because the associated storage
is currently released by the last rtfree(9).

ok mikeb@

vioblk: Properly handle poll timeout

The only way to ensure that the device does not do DMA for the timed out
request is a device reset.

Also increase the timeout to 15s

rename virtio_ops.intr to poll_intr

This describes more accurately what it is good for.

Also introduce a virtio_poll_intr macro.

virtio: Move interrupt handler into transport specific code

For MSI-X (and also possibly for other transports), the interrupt
handler must do different things.  Move it out of virtio.c and into
virtio_pci.

ARM part tested by patrick@

make several program to use "chown" promise.

it allows chown(2) call to change the user or group on a file.

- usr.bin/compress : aka gzip
- usr.bin/mg : open a file for writing
- usr.bin/sed : inplace editing
- usr.bin/sort : if outfile equals one of the input files

ok deraadt@ tb@

(and a reminder from Remi Locherer)

warning: in order to use it, you must have a recent kernel with the new
promise.

Add PT_GNU_RELRO, for ld.so work

ok millert@ kettenis@

Prevent silly states via knotes on pids > 2^32 and on nonexistent signals.

ok tedu@

ufs_readdir() buffer was meant to be limited to 64kB; reversed test
permitted very big mallocs to panic the kernel.

reported by Tim Newsham
ok millert@

kevent validates that ident is a valid fd by getting the file. one sad
quirk: uint64 to int32 truncation can lead to false positives, and then
later in the array sizing code, very big mallocs panic the kernel.
add a check that the ident isn't larger than INT_MAX in the fd case.
reported by Tim Newsham

Correct equal in test.

A work-in-progress driver for the Hyper-V NetVSC

Network VSC is an RNDIS device using NVSP protocol to communicate
with the Hyper-V VMBus via VMBus channels and/or shared memory. The
code was ported from FreeBSD with some API changes and simplifications.

While the Rx path is nearly complete, packet transmition is not
implemented yet.

ok deraadt, mlarkin

When matching a day in the month, make sure that the date is still
in the month we are interested in after calling mktime(3).  This
fixes things like Sunday+5 for months where there is not a 5th
Sunday and the 31st day in months with less than 31 days.
From Andy Bradford

The "#address-cells" and "#size-cells" properties define the size
of the memory address and length information.  The root node passes
this information down to the children and it can be overwritten by
other nodes inbetween.  Pass these properties as part of the fdt
attach args, so that we can grab that information quickly inside
the drivers.

ok kettenis@

ross l richardson reports that an auto reply is no longer generated
on submission, so remove that sentence (correct me if this is wrong);

while here replace some mandoc chars;

output the no-longer-so-new AS operators when printing the
configuration
noticed by and diff from Denis Fondras, thanks!

ok phessler@ sthen@

Since mappings established using __MAP_NOFAULT will be converted into anonymous
memory if the file backing the mapping is truncated, we should check resource
limits.  This prevents callers from triggering a kernel panic and a potential
integer overflow in the amap code by forcing the allocation of too many slots.

Based on an analysis from Jesse Hertz and Tim Newsham.

ok deraadt@

Revert previous; the __MAP_NOFAULT test is inverted and the commit message is
wrong.

Move ARP processing back to the KERNEL_LOCK()ed task until the race
triggered by updating a cached, but removed from the table, entry is
properly fixed.

Diff from dlg@, prodding deraadt@

Adjust existing tls_config_set_cipher() callers for TLS cipher group
changes - map the previous configuration to the equivalent in the new
groups. This will be revisited post release.

Discussed with beck@

Split the existing TLS cipher suite groups into four:

"secure" (TLSv1.2+AEAD+PFS)
"compat" (HIGH:!aNULL)
"legacy" (HIGH:MEDIUM:!aNULL)
"insecure" (ALL:!aNULL:!eNULL)

This allows for flexibility and finer grained control, rather than having
two extremes (an issue raised by Marko Kreen some time ago).

ok beck@ tedu@

Since mappings established using __MAP_NOFAIL will be converted into anonymous
memory if the file backing the mapping is truncated, we should check resource
limits.  This prevents callers from triggering a kernel panic and a potential
integer overflow in the amap code by forcing the allocation of too many slots.

Based on an analysis from Jesse Hertz and Tim Newsham.

ok deraadt@

remove <0 check for an unsigned variable
from tom

remove unused function ether_cmp()
from tom

Use the device tree voltage regulator information to supply power to the USB
bus.  For this only supports "fixed" regulators that are controlled through a
gpio.  But this covers all the case we currently handle with board ID specific
code.  Note that the old code did explicitly remove power first on some boards,
which would reset bus-powered devices/hubs on the bus.  The new code doesn't do
this.  If that causes problems we can revisit the issue.  The boards that would
be affected are sabrelight/nitrogen6x and utilite.

The plan is to evolve this into a generic regulator framework that supports
more complex regulator types as well.

ok jsg@, patrick@

Introduce RTF_MULTICAST and flag corresponding IPv6 routes as such
instead of abusing RTF_CLONING.

Fix a leak reporeted by Aaron Riekenberg on misc@, ok sthen@

CPUID vendor ID was already register-swapped during initial query, so no
need to do it again.

Fix usage() output and getopt sorting

store nd6 expiries in the route, not separately in the llinfo struct.

this makes it more consistent with arp, and makes expiries visible
via route(8) get as well as ndp(8).

ok mpi@ florian@

Document that the syslogd options -c and -k must be used together.
OK jmc@

Reset the mt state completely in wsmouse_mt_init.

ok kettenis@

The only valid flag for unmount(2) is MNT_FORCE, ignore any others.
Fixes a crash when MNT_DOOMED is passed in the flags to unmount(2)
found by NCC Group.  OK bluhm@

Turn ahci(4) glue code for the i.MX6 platform into its own imxahci(4) driver
such that we can don't end up with conflicting attachments of other
SoC-specific glue code.

Change over to imxehci(4) here as well.

Link path MTU discovery regress test into build.

Allow to run the syslogd tests as root without SUDO also if the
libevent method environment is set.

Turn ehci(4) glue code for the i.MX6 platform into its own imxehci(4) driver
such that we can don't end up with conflicting attachments of other
SoC-specific glue code.

ok jsg@, patrick@

in the great unp_gc rewrite, a null check was lost. we have spent some
time investigating and arguing about whether a NULL fp is a bug or not,
but what has become clear is that NULL fps get passed to unp_discard
and have been for quite some time.
restore old accomodating behavior by checking for null in unp_gc.
ok deraadt kettenis

The check for pledge "recvfd" was mistakenly only being performed
for chroot'd processes.
ok stefan semarie

add "recvfd" to doas(1) for use with skey.

ok tb@ deraadt@

Add regression tests for syslogd TLS client certificates.

Add support for TLS client certificates in syslogd.  This allows a
remote server to verify that the log messages from our syslogd are
authentic.
From Kapetanakis Giannis; man page input jmc@; OK jung@ deraadt@

Directly drop packets filtered by bpf(4) instead of going through the
input handlers.

ok dlg@

remove more noisy messages in "sendfd" and "recvfd"

Make all components of the URI individually optional,
independent of each other, as in:
http://man.openbsd.org[/manpath][/mansec][/arch]/name[.sec]
The restrictions in the past kept confusing people.
Triggered by a question from RafaelNeves at gmail dot com.

Revert previous adaption of the test.  The behavior change in libtls
has been backed out.

don't allow mounting with noval owner. panics later.
reported by Tim Newsham at NCC.
ok millert natano

Add missing "recvfd" pledge promise: Raf Czlonka reported ssh coredumps
when Control* keywords were set in ssh_config. This patch also fixes
similar problems with scp and sftp.

ok deraadt, looks good to millert

be less noisy on console in case of "recvfd" refusal
ok semarie

sync

Instead of using the floating point square root, use an integer version
of the Newton method from ping.c.  Fixes a rounding issue that caused
failure to factor numbers close to 2^64, e.g. 18446744030759878681.
While there, fix an off by one error that caused 4295360521 to be
reported as a prime.  Issues reported by Paul Stoeber and Michael Bozon.

ok tedu, deraadt

Use gpio framework to implement hardware reset of the PHY instead of
hardcoding particular gpios based on board IDs.

ok visa@, jsg@

Use gpio framework to implement card detect instead of hardcoding particular
gpios based on board IDs.

ok visa@, jsg@

Hook up imxgpio(4) to the FDT gpio framework.

ok visa@, jsg@

Add a simple framework for handling gpio controllers and pins on FDT-enabled
platforms.

ok visa@, jsg@

Add CN61xx.

Add regression tests for the path MTU discovery implementation in
the kernel.  Generate TCP and TCP6 and UDP6 packets with Scapy,
check the kernel's reaction to ICMP fragmentation needed and ICMP6
packet too big.
OK mpi@

sync

Path MTU discovery was slightly broken.  I took two ICMP packets
to create and change the dynamic route.  This behavior was introduced
in net/route.c rev 1.269 when the gateway route allocation was moved
from rt_setgateway() to _rtalloc().  So rtrequest(RTM_ADD) could
return a route without a valid gateway route.  To fix this, call
rt_setgwroute() from _rtalloc() and rt_setgateway().
OK mpi@

Do not increase the size of the socket buffer under memory pressure.

From Simon Mages, ok beck@, claudio@, bluhm@

Initialize oui and model fields in the softc.

ok deraadt@, mpi@

Revert the introduction of ``rt_addr''.

Being able to add route entries without configured addresses is a nice
feature but this is not my fight.  So I'd rather no add another pointer
to ``struct rtentry'' if I'm not removing another one.

Make sure variables are used initialized in amap_wiperange

Uninitialized variables used in an if/else could cause a slower
codepath to be taken, but the end effect of both paths is the same.

Found by jsg@

obsolete note about fascistloggin is obsolete. ok djm dtucker

Teach tcpdump to recognize MPLS pseudowire with control words. Added
support to print encapsulated ethernet packets as well.

"Looks good" deraadt@

zero the read buffer after copying data to user so it doesn't linger.
ok beck

use offsetof to create an offset instead of illegal unaligned pointers
ok guenther

Not all i.MX6 devices have a pinctrl property in their device nodes.
In that case, soft fail and return instead of allocating buffer with
a bogus size.

ok kettenis@

Pay attention to Processor Local X2APIC structures.  ACPI 6.0 allows these
even for APIC ID values less than 255.  Makes secondary CPUs attach on the
HP DL360 gen 9.

tested by jung@
ok guenther@

Rename apic_proc_uid field to acpi_proc_uid in the acpi_madt_x2apic struct.
It is the ACPI processor UID that is stored here.

ok guenther@

regen

Add MICREL KSZ9021 and KSZ9031.

Fix typo.  Pointed out by patrick@

Build firmware for USB devices on octeon.

ok deraadt@

pledge: use uint64_t instead of int for temporary storing a 64bit integer

affects only 32 bits platform (like i386).

problem spotted and diff from pelikan@

ok deraadt@ jca@

Dynamically attach imxgpio(4) using the FDT.

consistent spelling of "Moscow"; Ilya dot Kaliman at gmail dot com

Fix a nasty typo that prevented .so links to gziped manuals
from working in the absence of a mandoc.db(5) database.
Found the hard way by Svyatoslav Mishyn on Crux Linux.

Add support for handling pinctrl device tree bindings to imxiomuxc(4).
These are used to do board-specific setup of mux settings and pad
configuration.

ok jsg@, patrick@

Use the synciobdma instruction instead of the sync instruction for
flushing any pending local IOBDMA operations. The sync instruction is
overkill because it implies a full memory barrier.

ok jasper@ (long time ago)

Simplify the code and the server setup by deleting the pseudo-manpath
"mandoc" that was used for man.cgi(8) documentation and by assuming
that the apropos(1) and man.cgi(8) manuals are simply installed in
the default manpath.  Even though man.cgi(8) is not installed by
default when installing OpenBSD, it is easy to copy it into the
default manpath used for man.cgi(8).

Idea found when considering a question asked by wrant dot com.

Fix detection of /usr/lib on NFS.
Found by Frank Scheiner, thanks for reporting this.

OK krw, halex
'cool' deraadt

rename variable for consistency

Instead of attaching the omap device based on board ids follow imx
and match based on the compatible property of the root node in the fdt.

Each of am33xx, omap3, and omap4 have their own list of devices to
attach.

Remove now unused definitions for drivers that have been converted to
use the fdt.

Document that SIGTTOU is sent if the process is in the background.
Adapted from text from tcsetattr(3).

POSIX specifies that if a processing calling tcsetpgrp() is in the
background it shall receive SIGTTOU.  Handle TIOCSPGRP like we do
the other tty ioctls that change the terminal.  OK deraadt@ guenther@

Paranoia: check KTRPOINT() before calling ktrpledge() to guarantee we
can't (in the future) loop from ktrace writing hitting a pledge condition.

diff from Michal Mazurek (akfaew (at) jasminek.net)

attempt to improve clarity by reducing forward references and more
directly documenting each option's effect.

spelling; from Ilya dot Kaliman at gmail dot com

only print one error, not multiple misleading messages

Do not treat PATH_INFO as a complete path if it doesn't contain
a manpath.  For example, this makes http://man.openbsd.org/mandoc
work as expected.
Bug reported by tb@, reminded by Svyatoslav Mishyn.

Simplify the i.MX6 platform code.  The list of board devices is now
(essentially) the same for all boards, so we can use a single list and
match based on the compatible property of the root node in the device tree.

ok jsg@