after kmem is open and setup, pledge "stdio rpath wpath cpath"
seems to be working.  commiting to get feedback from people who crash.

Collapse some strange programmer style with too much abstraction.

With TIOCSTI supported in pledge "tty proc", csh is good enough to run
with pledge "stdio rpath wpath cpath fattr getpw proc exec tty".  (Note
that ksh "emacs mode" is also a abus^Wconsumer of TIOCSTI, but we had
let that slide for a week since noone uses it...)

A whole buncha unsigned char casts for ctype function arguments.

ok guenther@

Use explicit_bzero() when the memory is freed directly afterward.

ok deraadt@

Use explicit_bzero() when the memory is freed directly afterward.

ok deraadt@

TIOCSTI and TIOCSCTTY; oops got the condition backwards.

better placement for dnssocket/dnsconnect

Describe dnssocket / dnsconnect arguments

Allow read/write access to /dev/tty when using "tty" pledge.

Without this change, you need "rpath" and "wpath" to open /dev/tty.  Some
applications explicitly open /dev/tty, but deraadt@ found the most
common use is indirectly via readpassphrase().

tweak and ok deraadt@
pre-tweak ok millert@, semarie@

create libc stubs for dnssocket() and dnsconnect()

sync

Add two new system calls: dnssocket() and dnsconnect().  This creates a
SS_DNS tagged socket which has limited functionality (for example, you
cannot accept on them...)  The libc resolver will switch to using these,
therefore pledge can identify a DNS transaction better.
ok tedu guenther kettenis beck and others

naddy asks me if __tfork should be allowed by "proc".  yes!
We may need a better semantic later ("thread"?), but this allows
progress, and people can report their experiences.

connect() to an AF_UNIX socket is really read/write, so tell pledge this
is a RPATH|WPATH operation.
Discussed with doug and millert

Allow the nasty ioctl TIOCSTI in "tty", but also require the "proc"
permission.  For now, we'll tighten it down further later.

better wording in a comment

Unify TIOCGPGRP/TIOCGWINSZ/TIOCGWINSZ behaviour regarding ENOTTY return.
(both "tty" and "ioctl" allow these; they should behave the same)

Allow TIOCSCTTY on tty devices, if the pledge says "tty id"
worked out with nicm

whitespace

Rename SYSEXIT() to SYSCALL_END() for consistency with most other archs.
No change in resulting object files

ok millert@

mailaddr_match() allows comparing two struct mailaddr taking into account
catchall and +-tags

ok millert@ and jung@ for util.c

Move the last of the __DBINTERFACE_PRIVATE bits from <db.h> to libc's wrapper
and eliminate the now superfluous -D option

ok kettenis@ millert@

Fix the code that sets up the MCH BAR on systems where the (buggy) BIOS
doesn't do this for us.  The code was poking registers on the wrong PCI
device.  We were just lucky that it worked on most systems.

This should fix machines such as the Asus EeePC 701 and get rid of the

error: [drm:pid0:i915_gem_detect_bit_6_swizzle] *ERROR* Couldn't read from
MC HBAR.  Disabling tiling.

messages on that machine.

Tighten pledge: We only write to stdio and never to any files if
in cat mode (-c, zcat), or in test mode (-t), or if there are no
file arguments and there is no -o outfile.  Due to fts(3) we require
rpath even for compress <in >out.

"seems sound" deraadt@

Spell all "unexpected mode %u" panics in lower case, not just one of them.

remove some unneccessary macros; from michael reed

add missing underscore; from theo buehler

Fix build with IFMEDIA_DEBUG defined; ok sthen@

PROTO_NORMAL for pledge(); ok guenther

login_token needs pledge "flock" now.
OK millert@

makemap shout strip initial and trailing whitespaces using strip()

ok millert@, ok jung@

document handling of comments in makemap

ok millert@, ok sunil@, ok jung@

Drop two useless defines.

ok nicm@

Add pledge "stdio unix sendfd proc exec tty" to tmux client process,
"sendfd" is dropped after first message from the server.

Move a system header include from the global header (sh.h) into the
files that need it. No binary change.

"This looks fine" -nicm@

both of these are deprecated

Convert some fgetln to getline.

tested and ok gilles@

Cleanup and simplify LMTP code.

Ok millert@ gilles@

LMTP delivery requires "inet unix".

Ok millert@ gilles@

make usage() less horrible

Exit if a pledge call fails in non-interactive mode.

ok semarie@

Pledge; OK millert@ tobias@

this file is deprecated

Change allocarray() to areallocarray(), a full reallocarray clone. All
the logic is already in aresize().

"Sure" nicm@

remove unused variables

Copy alloc()'s overflow check to aresize().

Suggested by nicm@.

NUMBOOT is dead! Nuke the variables and abstractions that were used
to build boot blocks.

ok miod@

Implement -w maxwait now that the -w flag is free in ping6. Same
behaviour as ping(8).

Do no accept fds on the control socket; including the restricted socket.

OK gilles@ eric@

move -V option before -v and remove one spurious newline, now in sync
with ping.
No object change.

KNF

our strip() function should use isspace()

ok jung@, ok millert@

Remove left over -N and -w. Adapt wording for the link local example.
Pointed out by, input & OK jmc

Tighten up snmpd's control socket: do not allow users to terminate the
daemon by sending corrupted imsgs to snmpd.  This is especially
important for the optional world-writeable restricted socket that is
used for AgentX.  In particular, don't fatal() in the daemon when imsg
size checks on control messages fail, do stricter validation of
expected messages (even assert zero-length imsgs), don't continue and
close the control socket on suspicious input, print a debug log
message on error.

OK gilles@ "the rationale behind it is quite clear"

Cleanup a bit.

OK krw@ halex@

add "tty" for several subcommands of openssl

it is needed in order to let libssl UI_* function plays with echo on/off when
asking for password on terminal.

passwd subcommand needs additionnal "wpath cpath" in order to let it calls
fopen("/dev/tty", "w") (O_WRONLY with O_CREAT | O_TRUNC).

problem reported by several
with and ok doug@

The file(1) magic-parsing process was using pledge "stdio getpw proc recvfd"
early on, then a set of getpwnam/setresuid/... before quickly dropping to
"stdio recvfd".  It receives fd's and runs the magic code on them in a
chroot'd "stdio" jail.  We can do better than that.

Before the recent change, "proc" contained both the concepts of "forking"
and "setuid".  "id" is now split out as a seperate request, and it is
exactly what this process needs momentarily.  So this loses another window
of opportunity, in case we have a major bug in .... hmm, it'd have to be
in getpwnam....

ok tedu doug semarie gilles

smtpd starts rather robustly with a gigantic pledge request group (keep
in mind that a gigantic group is already < ~50% of POSIX).  It then
grinds these down bit by bit as it sets up privsep for the various
processes.  At startup, smtpd will need the new "id" request as well.
ok gilles tedu

Add pledge "id" support.  This request permits setuid/seteuid/setresuid,
setgid/setegid/setresgid, setgroups, setlogin, and setpriority.

setrlimit and getpriority are also allowed (they are also in "proc")

some of these were previously permitted in "proc" but have been removed.
this seperation is intentional.  "proc" is intended for reasoning about
the relationship of a process "with other processes", whereas "id" deals
the powerful/dangerous concept of unix ids.  "id" will see some action
very soon.

ok gilles tedu semarie doug

route6d pledges to use only "stdio rpath wpath cpath inet route mcast"

ok deraadt@

Allow a few 'get' ioctls for pledge("route").  route6d will soon use this.

ok deraadt@

don't need fcntl for non blocking socket, just ask for it upfront

Very tricky diff to fix macro interpretation and spacing around tabs
in .Bl -column; it took me more than a day to get this right.
Triggered by a loosely related bug report from tim@.

The lesson for you is:  Use .Ta macros in .Bl -column, avoid tabs,
or you are in for surprises:  The last word before a tab is not
interpreted as a macro (unless there is a blank in between), the
first word after a tab isn't either (unless there is a blank in
between), and a blank after a tab causes a leading blank in the
respective output cell.  Yes, "blank", "tab", "blank tab" and "tab
blank" all have different semantics; if you write code relying on
that, good luck maintaining it afterwards...

Change x_do_ins()'s arg type from int to size_t for correctness's sake,
and to silence a compiler warning. Also remove its prototype, which is
directly above its definition.

ok tedu@

Move the overflow check to alloc() so that the link struct overhead can
never bite us.

Suggested by Theo Buehler, inspired by Bitrig's natano@.

ok tedu@

use daemon(), jca had the same diff in his tree

Also allow 6 as a miblen for NET_RT_DUMP, not all users specify a rtable.

ok deraadt@

pledge "stdio rpath wpath cpath getpw fattr flock"

pledge "stdio rpath wpath cpath fattr proc exec"

pledge "stdio rpath wpath cpath proc exec".

Remove RFC 4620 support. The RFC is experimental and this code plain
needs killing before the installed user base excedes 6. Minus 745 LOC.
This is getting in the way of a merge since it has it's tentacles all
over the place.
OK jca@, deraadt@

increase the minimum modulus that we will send or accept in
diffie-hellman-group-exchange to 2048 bits; ok markus@

Hoist clearing of FIOASYNC to much earlier, then getty can use
pledge "stdio rpath fattr proc exec tty".

Once apropos(1) or man(1) are done with database access, or if the
program was called as mandoc(1) in the first place, remove "flock"
from our pledge(2) before entering the parsers and formatters.
OK millert@ deraadt@

Use SSL_get_version() not SSL_get_cipher_version(); the former gives the TLS
version used for the connection, the latter gives "the SSL/TLS protocol version
that first defined the cipher". Fixes "TLS version=TLSv1/SSLv3" in received/log
lines.

ok millert@ "I was going to commit this today, so yes definitely" ok gilles@

add flock to pledge request, needed by delivery_filename

ok millert@

Unbreak route6d.

Instead of breaking sendmsg(2) by adding unneeded space to its cmsg
item, add space to the cmsg used by recvmsg(2), where it will be used
to get the incoming packet hop limit.

Reported by several over the last years, and more recently by 'bsdsx',
who tested it against NetBSD route6d.  Also works against Quagga ripng.

ok deraadt@ sthen@

save some file descriptors. instead of a pipe, use kevent to watch parent

naddy would like the child to exit when the parent dies.
hook up a pipe between them and watch for eof in the child.

Missing local.

ok schwarze@

No longer talk about -b flag, it's gone.

Drop usage of TMPDIR.
While here, stop refering to /tmp/sysmerge.XXXXXXXXXX, that's a script
internal we don't need to know about.

sync

test mixing of tabs with Ta

Make sched_barrier() use its own task queue to avoid deadlocks.

Prevent a deadlock from occuring when intr_barrier() is called from
a non-primary CPU in the watchdog task, also enqueued on ``systq''.

ok kettenis@

life is simpler if all requests go in the fifo, and then just remove them
in the error case instead of duplicating code.

better handle anchored FQDNs (e.g. 'cvs.openbsd.org.') in hostname
canonicalisation - treat them as already canonical and remove the
trailing '.' before matching ssh_config; ok markus@

deraadt tells me i'm supposed to check if connect() actually worked.

two phase handling for tcp so that slow connects don't stall the process

Cast isspace() argument to unsigned char.

ok jca@

Move -t and -w functionality to -a. Both flags are in the way for a
merge with ping(8). Let's see if we can shove every weird and special v6
functionality into -a.
suggested by and OK sthen@

Modernize allocation by:

 * removing unneeded casts of void* return values
 * replacing varied and creative error messages with the allocation
   function's name
 * replacing errx() with err() so that the errno string is reported

ok beck@, jung@, millert@

Cast iscntrl()'s arg to unsigned char.

ok nicm@

0 -> NULL when comparing with a char*.

ok dtucker@, djm@.

Repair the pty check for kernels without pty support.

Check file sizes only for regular files. The current code breaks savecore
due to its kvm handling.

ok deraadt

Pledge the syslogd privsep process with "stdio rpath wpath cpath
inet dns getpw sendfd proc exec".
OK deraadt@

The hosts.lpd examples file does not contain a single example.
The file format is so simple that no example is needed.
All relevant documentation is already available
from the proper place, which is the lpd(8) manual.
Consequently, delete the empty file.
OK millert@ dcoppa@ beck@ deraadt@

Allow PTMGET with "tty rpath wpath" but restrict only to /dev/ptm by
checking cdevsw. ok deraadt