use .Fl macro for command line options

wrong macro

Decouple unveil from the pledge flags, by adding dedicated unveil flags
to the namei args. This fixes a bug where chmod would be allowed when
with only READ. This also allows some further cleanup of some awkward
things like PLEDGE_STAT that will follow
Lots of assistence from semarie@ - thanks!
ok semarie@

Remove unnecessary NULL check from get_cert_by_subject since
sk_BY_DIR_HASH_find already does it, removing ambiguity later in the function.

ok tb@

Prevent a panic when reboot -q is used by making unveil_removevnode
sane.
ok kettenis@

Fix a memory leak in i2d_RSA_NET on failure of ASN1_STRING_set.

Found by Coverity.
Feedback and ok tb@

remove duplicate installation of the SIGINT handler;
from Martin Kopta <martin at kopta dot eu>

In RSA_padding_add_PKCS1_OAEP, dbmask needs to be freed on failure.

ok tb@

enable virtio pci attachment on armv7

Mention ioctls that don't work for the control device.

ok jmc

Use english words instead of file names.

ok jmc

Fix memory leak in i2b_PVK in error handling.
Simplify parameter checks since this is only called from one place.
Found by Coverity, CID 183502.

ok beck@

Remove obvious or repeating sentinces.

ok jmc

Since -s argument is no longer checked, during reexec, the argv size then must
be shortened by 1.

OK florian@

Since -s argument is no longer checked, during reexec, the argv size then must
be shortened by 1.

OK florian@

Remove cpath pledge(2) promise. We decided that not deleting the unix control
sockets cause no harm and this way we close another attack surface by not
allowing the daemon to create/delete any more files.

While here also scramble pledge promises to their canonical form.

OK florian@

calloc the mode data instead of malloc and initialize everything.

enable bio and softraid on arm64 ramdisk

enable bio and softraid on armv7 ramdisk

Remove now unused header which I forgot to commit on previous.

Remove cpath pledge(2) promise. We decided that not deleting the unix control
sockets cause no harm and this way we close another attack surface by not
allowing the daemon to create/delete any more files.

OK florian@

Remove cpath pledge(2) promise. We decided that not deleting the unix control
sockets cause no harm and this way we close another attack surface by not
allowing the daemon to create/delete any more files.

OK akoshibe@ florian@

Revert back previous and remove cpath pledge(2) promise entirely. We decided
that not deleting the unix control sockets cause no harm and this way we close
another attack surface by not allowing the daemon to create/delete any more
files.

tweak and OK florian@

document some more escapes which are hit by restricted mode,
and move the documentation of which are relevant to the restricted mode
(-r) description;

from kris katterjohn

while here, replace some Gt/Lt escapes;

Implement a few missing RK3288 clocks and implement resets.

fix a glitch in rev. 1.24: getline(3) returns ssize_t, not size_t;
pointed out by Andre Stoebe <as at nul not space>

obvious KNF: avoid '!' for tests of non-boolean variables,
__dead void usage, return from main and return is not a function,
err(1, NULL) after malloc failure, and garbage collect (void) casts
on functions that usually do not need return value checks

avoid using a value uninitialised
ok kevlo@

Add regress test to ensure that chmod fails when unveiled with "r"
(problem noticed by semarie@ - fix forthcoming)

Use POSIX getline(3) rather than the non-standard and error-prone fgetln(3).
In part based on a diff from Lauri Tirkkonen <lotheac at iki dot fi>.
While here, significantly simplify sequential().
No objection when shown on tech@.

Oops. Missing chunk from previous 'secs' -> 'ui'.

Rename local variable 'secs' to 'ui' to be consistant with all other
uses of getuint64(). No change to executable.

The operating-points-v2 binding allows opp-microvolt to be a single cell
or three cells.  Handle both cases, but ignore the minimum and maximum
values if they are provided in the case where we have three cells.

ok patrick@

Revert back previous commit, we have decided that socket files don't cause any
harm if not deleted after the daemon is shutdown and at the same time we also
tackle another attack surface by not allowing the program to create/delete
any more files (by removing "cpath" promise from pledge(2)).

Discussion initiated by a question from deraadt@ OK florian@

Leave the control socket behind on shutdown. It doesn't hurt anyone.
On the other hand it is much more powerful to get rid of cpath; rad is
no longer allowed to change anything on the filesystem.
Triggered by mestre@'s work to fix unlinking in other daemons and a
question from deraadt@
OK mestre

Leave the control socket behind on shutdown. It doesn't hurt anyone.
On the other hand it is much more powerful to get rid of cpath; slaacd
has no filesystem access whatsoever.
Triggered by mestre@'s work to fix unlinking in other daemons and a
question from deraadt@
OK mestre

document AUTOCONF_ENV

tweak previous;

sync

I can find no reason why portmap needs rpath after initialization.

invalidate dh->priv_key after freeing it in error path; avoids
unlikely double-free later. Reported by Viktor Dukhovni via
https://github.com/openssh/openssh-portable/pull/96
feedback jsing@ tb@

Uncomment no-longer-dead Xr.

Add man page for fuse_get_context(3).

Pass PCIe requester ID as sideband data here as well.

Let ahci(4) match on _CLS instead of _HID when attaching at acpi(4).  Avoids
having to add many more _HID entries to the match table.

ok deraadt@, mlarkin@

Implement setting the CPU clock for Allwinner H3/H5 SoCs.

Also attach as a regulator if the FDT provides the fixed voltage value.
Restore fixed voltage at reboot time to prevent hangs after a warm reset
if DVFS is active.

advertise slaacd.8;

sort; ok florian

Implement single-stepping.  Based on an earlier diff from drahn@.
Disable userland debug communication access while there.

ok patrick@

return is not a function and if (x) -> if (x != NULL)
From Ross L Richardson, thanks
ok millert@

fix error messages from earlier syntax change
From Ross L Richardson
ok millert@

correct an error message, from Ross L Richardson
ok millert@

document the default in the abscence of a certificate authority.
From Ross L Richardson

Document that domain certificate is optional.
From Ross L Richardson

Move pledge after getopt when we know whether the operation is reboot,
powerdown, halt, or singleuser.  Before pledge, unveil access to
/dev/console, /etc/rc for singleuser entry, execute of /usr/bin/wall
to alert users, and creation of the fastboot and nologin files.  Also
conditionally allow execute of halt, reboot, or the shell depending on mode.
Believe all scenarios were tested -- please exercise this one a bit.

Implement DVFS support.

ok patrick@

Move nexthop and nexthop flags from the rde_aspath to struct prefix.
struct prefix will be slowly becomming the hub of the rib.
OK phessler@ job@

unveil _PATH_UTMP at startup.  Time for a commentary:

There is a TOCTOU between unveil() and open() which should always be
considered, since a path is being supplied twice to the kernel.  First
unveil()s define which paths remain in scope, then secondly open()s
try to access paths in scope.  The unveil() generates a vnode
reservation against the final path resolution (including symbolic link
collapse).  Before the open() occurs, root could replace the path with
symbolic traversal pointing elsewhere.  Then open() will traverse a
path which fails to discover the reserved vnode, and thus fail with
ENOENT.  The TOCTOU sequence doesn't succeed against the new path, it
*always fails*.  (Unless the symlink resolves to another unveil'd
vnode object, but that is not new behaviour).

So once a process is running with veiled filesystem view, we can
consider such a symlink change action as PERMANENTLY visible to this
process and correctly contained to the scoped view, rather than the
previous behaviour of being TRANSIENT and global in view.  So this is
not a real race, security implications will be narrow, and generally
the old symlink-race case is the less secure.

When we add this unveil+open TOCTOU scenario to a program, we should
consider who can perform such a symlink snap, and whether behaviour
change to the program is more disruptive than the risks prevented
through filesystem hiding.  How does a program behave if a file
disappears due to active interference?  Are users (and scripts) used
to operating in a racey best-effort way, and is the additional
strictness strangling their freedom to run shitty stuff?

A few general rules for base programs can avoid problems in this area:
don't en masse unveil argv[], then process argv[] in a second phase.
Don't unveil args which get placed into TZ, TERM, and some other
environment variables, unless you completely understand what libc is
doing.

We can only unveil if the prefix is a directory (the input paths, and the
output directory).  If prefix isn't a directory, that would require
enumerating all prefix<sig>.<id> filenames and unveiling all of them
which isn't reasonable... for the file case can we identify whether it
starts start with '/' or not, and unveil '/' or '.' for "w"?

Improve synchronization between the parent and children. This fixes
a spurious test failure spotted by anton@ and eliminates sleeping
in the test.

Feedback and OK anton@

Move pledge to after getopt, when the finger program becomes known
(defaults to /usr/bin/finger, but can be redefined with -P option).
Then unveil that program for "x" (execution), and pledge as before.
No other filesystem accesses occur after that point.

pledge() a little later, after getopt operation, in case -f option changes
the filename.  We can then unveil that file, pledge() as before, and proceed
to parsing.

sync

wrap long lines

unveil _PATH_DEVDB for devname().   All other filenames are opened
before unveil/pledge.

Reshuffle the way bgpd does the softreload after filter changes.
Walk each rib at most once and push it from there to all RIBs or peers
that need the update. Makes the logic more streight and so easier to run
in background.
Tested by and OK phessler@

Enable mue(4).
Tested on Orange Pi Plus 2E (armv7) and Orange Pi PC 2 (arm64).

ok jsg@

Move dns settings to global options so that they don't need to be
repeated in every interface block - they can still be overwritten
on a per interface basis.
Pointed out by, tweaks & OK sthen

document that wpakey needs a preceeding nwid OR join specification

ok phessler@

revert 1.133 and part of 1.131
the stack doesn't always fill in the paramaters correctly

reported by many

Account when the next nd6_timer_to is scheduled in nd6_timer()
otherwise nd6_llinfo_settimer() might wrongly assume that a timeout is
already scheduled earlier and not schedule one itself. This in turn
lead to the neighbor cache no longer updating because neighbor
solicitations were not send.
Observed by many.
OK kn

pledge() a little later, after getopt operation, when we know tty name.
We can then unveil the tty file, and pledge() as before.  No other files
are accessed after that point in time.

unveil of _PATH_DEVDB "/var/run/dev.db" can be done before pledge for
use by ttyname, no other files are accessed after that.

actually heed localbase when looking for groff

reorg groff runner so that failures are handled better
do the logic for manpage formatting better, so that we can't miss things
simplify filenames, fullname always has a slash

- exit in case of exec error.  Prevents code from continuing badly
- display error message on STDERR... better
- don't extract the code twice

- use memset() for for clearing hashtbl
- the switch case for IFM_100_TX was the same code as for IFM_1000_T so it
  can be rolled into one.

From Michael W. Bombardieri

tweak previous;

The first unveil userland commit!

unveil _PATH_LOGIN_CONF (/etc/login.conf) which is used by
login_getclass(3) and family before doing password encode.  This
is the only filename used by the program during runtime, everything
else happens on stdin/stdout.

This does not need pledge "wpath"

ni_pledge flags are a uint64_t not an int - don't initialize with an int.

Place a limit on the number of elements in a ber sequence/set. This prevents
possible stack overflow due to recursion in ber_free_elements().

ok claudio@

Add mue(4), a driver for Microchip LAN75xx/LAN78xx 10/100/1000 USB Ethernet
adapters.

"go ahead commit it" deraadt@

Log command arguments.

replace excessively wordy and fuzzy introduction
with a real HISTORY section;
OK jmc@ rob@

errno is never checked after a call to getuint64(). So there is no
point to getuint64() setting it to EINVAL when the user enters an
invalid value or aborts input with a ^D.

Grammar fix in comment.

ok deraadt@

Some wordsmithing. Comments and tweaks from deraadt, jmc, benno, and tb.

ok deraadt@

Split out the rule skipping logic into own function and by doing so ensure
that both filter lists are treated the same way. This fixes an inconsistency
with ibgp and ebgp filters as used in the example config.
OK benno@ sthen@

According to code (and testing), each is optional but at least
one must be present.
From Ross L Richardson, thanks
ok sthen@

It's an "X.509 certificate" rather than a "TLS certificate".
As pointed out by sthen@, TLS isn't the only possible use.
From Ross L Richardson
ok shten@

its a X.509 certificate, consistency with acme-client.conf.5
From Ross L Richardson
ok sthen@

Enable ssdfb(4) at I2C.

Add I2C attachment code to ssdfb(4).  The difference between the I2C
and SPI bus is simply how to let the chip know it's a command or data
transfer.  Otherwise we push the very same bits.

ntpd(8) has logic in place to delete its control socket on shutdown, but it
currently doesn't call the function control_cleanup to do so. The solution is
to simply call that function just before the program quits.

"sure" henning@

Make a few more rde specific functions static.

Make free_prefixsets() accept a NULL pointer. Makes it behave more like
all other free functions bgpd has.

session_groups can be static also.

Make key trees and some other bits static.