Fix a few bugs in X509v3_asid_add*()

These 'builder' functions, usually used together, can result in corrupt
ASIdentifiers on failure. In general, no caller should ever try to recover
from OpenSSL API failure. There are simply too many traps. We can still
make an effort to leave the objects in unmodified state on failure. This
is tricky because ownership transfer happens. Unfortunately a really
clean version of this seems impossible, maybe a future iteration will
bring improvements...

The nasty bit here is that the caller of X509v3_asid_add_id_or_range()
can't know from the return value whether ownership of min and max was
transferred or not. An inspection of (*choice)->u.range is required.
If a caller frees min and max after sk_ASIdOrRange_push() failed, there
is a double free.

All these complications could have been avoided if the API interface
had simply used uint32_t instead of ASN1_INTEGERs. The entire RFC 3779
API was clearly written without proper review. I don't know if there
ever was an actual consumer before rpki-client. If it existed, nobody
with the requisite skill set looked at it in depth.

ok beck for the general direction
with a lot of input and ok jsing

Cope with recent rt_hash() const changes.

Ignore -N in "gzip -dN <in.gz" and "zcat -N in.gz"

Have -c override -N, like other gzip implementations.  Before, our -N
(decompress to stored name) overrode -c (cat to stdout) and crashed
with a pledge violation, because the pledge for -c excludes wpath.

Guilherme Janczak reported the pledge violation in July 2022 and
provided a diff to prevent it, along with a regress test.  I rewrote
the diff and expanded the regress.

ok kn@ millert@

Delete the useless .\" ----- comments before .Sh.
Wo don't have them anywhere else, so we don't need them here.
No text change.

more details about error recovery
OK millert@ jmc@
triggered by a question from cheloha@

rtable_match() takes constant destination.

For implementing MP safe route lookup, it helps to know which
function parameters are constant.  Add some const declarations, so
that the compiler guarantees that sockaddr dst parameter of
rtable_match() does not change.

OK dlg@

Mention gnome in DIST_TUPLE.

zap some unused includes

scsi_xs_get() sets xs->flags via scsi_xs_io(). There is no need
to separately add another flag via SET(). Just pass the correct
combo to scsi_xs_get().

ok dlg@

Also mention COMPILER_LANGS for CFLAGS_${CHOSEN_COMPILER}

Suggested by espie@

While here, sprinkle more .Ev.

Add doc for CFLAGS_${CHOSEN_COMPILER} and CXXFLAGS_${CHOSEN_COMPILER}

ok tb@

GPT partitions have many attributes. Don't stomp on them all when
using 'flag <part #>' to make a partition the only bootable partition.
Just turn off the bootable bit in the other partitions.

ok dlg@

sync with NetBSD -r1.38:
remove unused NULL pointer that was passed to printf %s.

Make ifq and ifiq interface MP safe.

Rename ifq_set_maxlen() to ifq_init_maxlen().  This function neither
uses WRITE_ONCE() nor a mutex and is called before the ifq mutex
is initialized.  The new name expresses that it should be used only
during interface attach when there is no concurrency.

Protect ifq_len(), ifq_empty(), ifiq_len(), and ifiq_empty() with
READ_ONCE().  They can be used without lock as they only read a
single integer.

OK dlg@

Enhance 'flag' to accept hex values in addition to the current 0
.. INT64_MAX decimal values..

Easier to specify the 64 bits of GPT partition attributes and
0x8000000000000000 (a.k.a.  MS_NOAUTOMOUNT, a.k.a. 1 << 63)
becomes accessable.

Prompted by bug report and testing by Philippe Meunier. Thanks!

ok dlg@

remove unused liblldbPluginOperatingSystem

bsd.port.mk.5: document variables related to sccache, such as USE_SCCACHE

Tweak from kn@
OK landry@ kn@

Add an initial SNMPv3 regression test.

regen

add "Phoenix 2" APU device id

Phoenix 2 parts include both Zen4 and Zen4c cores
used by Ryzen Z1, Ryzen 5 7545U, Ryzen 3 7440U with cpuid 19-78-00

Give ober_printf_elements() a ber_element array, similar to
ober_scanf_elements(). This allows us to move down and back up multiple
levels in with nested sequences and sets.

While here, on failure, make sure we free (and unlink if needed) all
elements we created.

OK claudio@, tb@

accept numerical user IDs

Turn [-U username] into [-U user] to match top(1)/pgrep(1)/fstat(1) -U/-u
taking both "root" and "0".

Feedback OK millert

Always prefer group from initial KE payload as responder if supported.

from markus@

Make further use of netcat server close barrier in regress to reduce
flakiness.

MNT_SOFTDEP  and  mount -o softdep  no longer have any effect
OK kn@ jmc@

Run arp timeout without kernel lock.

Since cheloha@ has implemented timeout processes that do not grab
the kernel lock, start using TIMEOUT_MPSAFE for arptimer().

OK kn@ mvs@

Forgot to fix the RFC number in the new comment

Convert PKCS7_SIGNER_INFO_set() to X509_ALGOR_set0_by_nid()

This is a straightforward conversion because I'm not going to start a
cleanup here. Explain why this is not using X509_ALGOR_set_md(). See
below.

ok jca

Let me include a beautiful note from RFC 5754 in its entirety:

   NOTE: There are two possible encodings for the AlgorithmIdentifier
   parameters field associated with these object identifiers.  The two
   alternatives arise from the loss of the OPTIONAL associated with the
   algorithm identifier parameters when the 1988 syntax for
   AlgorithmIdentifier was translated into the 1997 syntax.  Later, the
   OPTIONAL was recovered via a defect report, but by then many people
   thought that algorithm parameters were mandatory.  Because of this
   history, some implementations encode parameters as a NULL element
   while others omit them entirely.  The correct encoding is to omit the
   parameters field; however, when some uses of these algorithms were
   defined, it was done using the NULL parameters rather than absent
   parameters.  For example, PKCS#1 [RFC3447] requires that the padding
   used for RSA signatures (EMSA-PKCS1-v1_5) MUST use SHA2
   AlgorithmIdentifiers with NULL parameters (to clarify, the
   requirement "MUST generate SHA2 AlgorithmIdentifiers with absent
   parameters" in the previous paragraph does not apply to this
   padding).

Tighten pledge in List and Append mode:

Drop "wpath cpath fattr dpath" in read-only:
-  cpio -i -t < test.tar
-  pax < test.tar
-  tar -t -f test.tar

Drop "cpath fattr dpath" in read-write:
-  echo foo | cpio -o -A -H ustar -O test.tar
-  tar -r -f test.tar foo
-  pax -w -a -f test.tar foo

Other modes remain unchanged and thus can create or modify files.

Feedback OK millert

avoid restartable syscalls with siginterrupt() against all our handlers.

pflogd uses blocking bpf reads, but installs a bunch of signal
handlers to handle cleanly closing and (re)opening the log file.
signal() by default sets the handlers up so they're restartable.
this has the effect that when pflogd receives a signal while waiting
in bpfread, the signal handler runs and sets a flag saying the file
should be rotated or closed or whatever, but then the kernel restarts
the read.

when pflogd used a bpf read timeout, pflogd would run it's "event"
loop every time the read timeout expired. this meant even though
the bpf read was restarted, by having the read timeout expire every
500ms the flag the signal handlers set would be processed in a
relatively short period of time.

after moving bpf to a wait timeout, pflogd basically has to wait
for a packet to be captured before the bpf read will return. if
you're trying to kill pflogd on an idle firewall then you're basically
stuck.

making the signal handlers not restartable allows bpfread to fail
with EINTR so pflogd can go around it's even loop and exit as
expected.

reported by Mikhail on bugs@
ok claudio@

pflogd needs a rewrite though.

-C/resume without "proc exec"

ftp(1) has "proc exec" to run sh(1) on interactive ! commands and filenames
starting with "|";  this is orthogonal to continuing transfers using the
existing file size as offsets.

There seems to be no case where a) the argument is an URL, i.e. we pledge,
and b) a shell is spawned somehow, so avoid these promises when resuming.

bsd.port.mk(5) FETCH_CMD uses -C by default.

OK millert

Add [-P progam] to filter dumps by basename

[-p pid] requires knowing the PIDs beforehand, sieving through big
dumps by argv[0] strings is more ergonomic.

OK deraadt

Finish clean up of old 6.7 softraid migration code

All combos of no/CRYPTO softraid, old/new ofwboot, old/new kernel do boot.

OK stsp

get rid of the ioctl whitelist that bio will tunnel for other devs.

this will allow bio(4) to be used with other (non raid) related
devices.

ok krw@ kn@

sort .xr after previous;  from jmc

link to showmount(8);  OK deraadt

vmctl(8): avoid abort when given an invalid "kernel" file.

The vmctl `start` command allows the user to pass an optional
"kernel" file (either a ramdisk kernel or a SeaBIOS image). This
file is opened by vmctl and the descriptor passed via imsg.

If the file provided isn't a regular file, the attempt to send the
start message to vmd(8)'s control socket will fail and results in
a the vmctl process aborting.

Check the file type after open and fail gracefully if not a regular
file.

reported by and ok gnezdo@

Convert ecx_item_sign() to X509_ALGOR_set0_by_nid()

ok jca

Convert asn1_item_sign() to X509_ALGOR_set0_by_nid()

ok jca

missing full stop

Remove delayed timeout(9) initialization. timeout_set*() only assign
members of passed timeout structure, this delayed initialization
provides nothing but makes code weird.

ok kn

Fix X509_ALGOR_set0() usage in rsa_alg_set_oaep_padding()

Replace X509_ALGOR_set0() with X509_ALGOR_set0_by_nid(). This way there
is no missing error checking for OBJ_nid2obj() and no nested functions.
Slightly more importantly, this plugs two long standing potential leaks
in this function (or previously rsa_cms_encrypt()) due to missing error
checking: in the unlikely event that X509_ALGOR_set0() failed, astr/ostr
would leak.

ok jsing

Use X509_ALGOR_set0_by_nid() in rsa_mgf1md_to_maskGenAlgorithm()

ok jsing

drm/amdgpu: Reserve fences for VM update

From Felix Kuehling
ff86d69b2e5004ec256a9301990acdaa282a777c in linux-6.1.y/6.1.62
316baf09d355aec1179981b6dfe28eba50c5ee5b in mainline linux

gpu/drm: Eliminate DRM_SCHED_PRIORITY_UNSET

From Luben Tuikov
9f9b2ec53aca630783493a2ccc3bab0794052133 in linux-6.1.y/6.1.62
fa8391ad68c16716e2c06ada397e99ceed2fb647 in mainline linux

drm/amdgpu: Unset context priority is now invalid

From Luben Tuikov
cafa191b27dd3c6199529f36a6dfddb707c240c0 in linux-6.1.y/6.1.62
eab0261967aeab528db4d0a51806df8209aec179 in mainline linux

drm/ttm: Reorder sys manager cleanup step

From Karolina Stolarek
6a87b333ba4784ba23c1e74693f5c1b0268ac137 in linux-6.1.y/6.1.62
3b401e30c249849d803de6c332dad2a595a58658 in mainline linux

Don't do the time window check if we're noAuthNoPriv. It's only needed
if we're authenticating according to RFC3414 section 2.3.

OK tb@

Let usm_make_report() utilize appl_report(). usm_make_report utilized
mps_getstr(), which after moving the SNMPv2-SMI::snmpV2 into
application_internal returned a noSuchObject. This doesn't seem to have
broken any tools that I'm aware of, but this returns the correct result.

OK tb@

Let appl_report() collect its own metrics. This simplifies the interface
and gives us a free report-pdu log line in debug mode.

OK tb@

Don't rely on aru_pdu to rebuild the original varbindlist on error.
Now that we have avi_origid it's not needed anymore and aru_pdu needs
to go.

OK tb@

Don't use aru_pdu for determining the requesttype. It's owned by
snmp_message and getting rid of it is also needed for appl_report() to
gather its own information.

OK tb@

On second thought let's not overwrite sm_pdutype with a hardcoded value
after just setting it, it's a silly idea.

OK tb@

export SNMP-TARGET-MIB::{snmpUnavailableContexts,snmpUnknownContexts}
via application_internal.

OK tb@

Hook up snmpTargetMIB to MIB_TREE.

OK tb@

More minor cleanup in rsa_alg_set_oaep_padding()

Test and assign one more instance replace a useless comment by an empty
line.

Avoid a NULL dereference when handling a malformed fastcgi request.

Rework the hack to avoid a use-after-free in the fastcgi code.
Since server_fcgi() can be called by server_read_httpcontent() we
can't set clt_fcgi_error to NULL.  Instead, we implement a simple
reference count to track when a fastcgi session is in progress to
avoid closing the http session prematurely on fastcgi error.
Based on a diff from and OK by tb@.  Reported by Ben Kallus.

Prepare further fixes of X509_ALGOR_set0() misuse

In rsa_alg_set_oaep_padding() rename los to ostr for consistency with
astr, make it have function scope, free ostr in the error path and assume
X509_ALGOR_set0() success.

ok jca

Increase NKMEMPAGES_MAX_DEFAULT to same value as on amd64.

OK deraadt@

zap a stray space

Rename os into astr in rsa_alg_set_oaep_padding()

Rename pkctx to pkey_ctx in rsa_alg_set_oaep_padding() and rsa_cms_encrypt()

Some simple cosmetics in rsa_alg_set_oaep_padding()

Rename rv into ret and split it on its own line, move labellen a bit down
add some empty lines. To match style elsewhere.

Most of this was requested by jsing

Split OAEP padding handling into a helper function

This matches what is done for PKCS#1 1.5 and PSS. This function needs a
lot of work still, but it's easier to do that without having to tiptoe
around a lot of other garbage.

ok jsing

libc, librthread: _twait: fully validate absolute timeout

Use timespecisvalid(3) to check both bounds for tv_nsec.

Link: https://marc.info/?l=openbsd-tech&m=169913314230496&w=2
ok miod@

Allow Xen to use backing store devices with 4K-byte sectors.

Problem reported and much testing by Christian Kujau. Thanks!

Roughly equivalent to bouyer@NetBSD changes prompted by
Christian.

ok mlarkin@ dlg@

remove accidental double space

pkg_add: sort flags in usage message

OK espie@

RFC 7505 ("Null MX") handling

mail delivery will not be attempted if a domain advertises a single MX
record with preference 0 and a zero-length label.

based on an initial diff from Philipp (philipp+openbsd [at] bureaucracy
[dot] de), thanks!

ok jung@

Move CMS_RecipientInfo_ktri_get0_algs() down a few lines and fix its
error check

Move CMS_RecipientInfo_get0_pkey_ctx() to first use of pkctx

Fix an error message left out in the mustDecodeHexString() conversion

Pull up the handling of the two webcrypto special snowflakes

Drop a useless line and bump copyright years

Unwrap a few lines

Wrap hex.DecodeString() into mustDecodeHexString()

The hex decoding is only done from the JSON files provided by the
wycheproof-testvectors package. Failure is always fatal. So there
is no need for repeated error checks, and we can use an ergonomic
wrapper.

Also rework the calculation of the message digest from input data
this had a similar deficit.

All in all this shaves off about 10% of the code and removes a lot
of tedious repetition.

Use maps to retrieve various AES variants

Convert hashEvpMdFromString() to a map

Add stringer interfaces to the test groups

This simplifies and unifies a lot of error messages.

Inline rsa_ctx_to_pss_string()

After previous refactoring, rsa_all_set_pss_padding() is the last remaining
caller of the weirdly named and ugly rsa_all_set_pss_padding(). This can be
handled in a few simple lines now that this mess has slightly cleaner code.

Rename pkctx to pkey_ctx in rsa_{cms,item}_sign()

Trivial cleanup in rsa_cms_sign()

Check and assign the EVP_PKEY_CTX and move the extraction of the algorithm
identifier from the signer info a few lines down.

Rework RSA_PKCS1_PSS_PADDING handling in rsa_item_sign()

The current convoluted mess can be handled with two calls to the new
rsa_alg_set_pss_padding() helper. Not that this would be obvious at
all.

This fixes two more leaks in case of X509_ALGOR_set0() failure.

ok jsing

Add a helper to set RSASSA-PSS padding parameters

This sets the AlgorithmIdentifier's algorithm to id-RSASSA-PSS with
appropriate RSASSA-PSS parameters. This pulls a chunk of code out of
rsa_cms_sign() and rewrites it with proper error checking, thereby
fixing a long-standing leak.

This helper can also be used in rsa_item_sign(), but that part is a
bit special, and will therefore be commmitted separately.

ok jsing

Add a helper to set RSA PKCS #1 v1.5 padding OID

This removes a few duplicated and unchecked X509_ALGOR_set0() calls and
factors them into a helper function that sets the AlgorithmIdentifier on
the recipient info or signer info to rsaEncryption with null parameters.

ok jsing

iface->auth_key is not a real C string so use strnlen() to define the maximum.

This fixes the use of 8 char passwords with auth simple.
Reported by Laurent CARON (lcaron at unix-scripts info)
OK tb@

Rename struct imsgbuf *ibuf to *imsgbuf in all places.
ibuf should be reserved for struct ibuf * values.
OK tb@

Alter imsg_move() to clear the full imsg buffer instead of just the
imsg->data field. This is needed for future imsg API changes.
OK tb@

comment out test that no longer makes sense, as noticed by anton

sync

Provide machine/apmvar.h on riscv64 too

OpenBSD/riscv64 doesn't provide suspend/resume or battery support yet,
but some ports need this interface at build time, so provide it.

ok phessler@

Pull everything except the actual run call out of the closure

The determination of the test group type and the JSON unmarshalling can be
done before the closure without performance impact. This is more readable
and eliminates the need of a temporary variable again.

Suggested by jsing

Introduce testGroupFromAlgorithm()

This factors another ugly switch into a helper function. This should
probably become a map eventually, but for now keep things straightforward.

Add a wycheproofTestGroupRunner interface

This allows us to use a simpler way of running the individual test groups
and gets rid of an ugly mostly copy-pasted switch inside a closure.

Add aliases for AES AEAD constructions and ChaCha

These used the wycheproofTestGroupAead type but an upcoming change requires
to change this. Introduce the aliases now to make the next diff cleaner.

Fix a for loop bug introduced in the concurrency refactor

Due to Go's idiosyncratic semantics of for loops, tests would only run
some of the test groups in the JSON file because by the time the closure
is called, the array index could be changed. For example, on fast 8 core
machines, the CMAC tests would run the last test group with key size 320
eight times rather than each of the eight test groups once.

Make a copy of the pointer before passing it to the closure to avoid this
issue.

Simpler version of my initial fix from jsing

Uncomment json webcrypto line. Packages will have caught up...

eliminate discrepancies between termcap-generated info and infocmp results
(see user_caps(5))
also obviously protects the term name just in case someone wants to have
fun with it..

Hook up agentx-{Add,Remove}AgentCaps-PDU to appl_{add,remove}agentcaps.

OK tb@

Readd the sysORTable based on the new struct appl_agentcap.

OK tb@