KNF nit

Tweak a comment using review feedback from jsing

Memory leak when assigning a string to some of the built-in variables.
Allocated string erroneously marked DONTFREE.  From Miguel Pineiro Jr.

The fulfillment of an assignment operand had been truncating its
entry in ARGV (since circa 1989). From Miguel Pineiro Jr.

Fix a file management memory leak that appears to have been there
since the files array was first initialized with stdin, stdout, and
stderr (circa 1992).  From Miguel Pineiro Jr.

Add stubbed out handlers for the pre_shared_key extension

ok jsing

Implement handlers for the psk_key_exchange_modes extensions.

ok jsing

Add a use_psk_dhe_ke flag to the TLSv1.3 handshake struct

This will be used to indicate client side support for DHE key
establishment.

ok jsing

Ensure that a client who sent a PSK extension has also sent a PSK
key exchange mode extension, as required by RFC 8446, 4.2.9.

ok jsing

Check tls_config_new() for NULL return

This way we don't crash in tls_config_insecure_noverify_cert().

From Mateusz Piotrowski on bugs

ok claudio

Provide #defines for the two currently registered PskKeyExchangeModes.

ok jsing

oops, update forgotten date in the footer

During identifier parsing, handle undefined escape sequences
in the same way as groff:
* \\ is always reduced to \
* \. is always reduced to .
* other undefined escape sequences are usually reduced to the escape name,
for example \G to G, except during the expansion of expanding escape
sequences having the standard argument form (in particular \* and \n),
in which case the backslash is preserved literally.

Yes, this is confusing indeed.
For example, the following have the same meaning:
* .ds \.   and   .ds .     which is not the same as   .ds \\.
* \*[\.]   and   \*[.]     which is not the same as   \*[\\.]
* .ds \G   and   .ds G     which is not the same as   .ds \\G
* \*[\G]   and   \*[\\G]   which is not the same as   \*[G]   <- sic!

To feel less dirty, have a leaning toothpick, if you are so inclined.

This patch also slightly improves the string shown by the "escaped
character not allowed in a name" error message.

expose hardware counters as kstats.

some of them are 16 bit, so check frequently.

now i can see what packets my apu1 is dropping in hardware.

ok claudio@

Do not unintentionally turn off all mouse mode when button is also present.

move auth_openprincipals() and auth_openkeyfile() over to
auth2-pubkeyfile.c too; they make more sense there.

test setenv in both client and server, test first-match-wins too

Make SetEnv directives first-match-wins in both sshd_config and
sshd_config; previously if the same name was reused then the last
would win (which is the opposite to how the config is supposed to
work).

While there, make the ssh_config parsing more like sshd_config.

bz3438, ok dtucker

Add missing *-sk types to ssh-keyscan manpage.
From skazi0 via github PR#294.

Add period at end of "not known by any other names" message.  github PR#320
from jschauma, ok djm@

ssh-keygen -A: do not generate DSA keys by default.  Based on github PR#303
from jsegitz with man page text from jmc@, ok markus@ djm@

fix the definition of the MVNETA_PRXITTH Port RX Intr Threshold register

Let btrace(8) execute the END probe upon receiving a SIGTERM signal

While SIGINT (already handled) makes sense for interactive use, handling
SIGTERM in the same manner is less surprising for scripting.  This lets
you do:

  btrace ... & some workload; kill $!

and get the expected output.

ok mpi@

Do not attempt to use client in config file (it will be NULL), GitHub
issue 3206.

When deleting or renaming a buffer and a buffer name is specified,
complain if the buffer doesn't exist instead of silently deleting or
renaming the most recent buffer. GitHub issue 3205.

Take the size of allocation into account when checking the kernel reserve.

ok mpi@

Don't treat the first arg as a 4.3BSD option string if it contains a '/'.
Also document that files-to-dump could be interpreted as a 4.3BSD option
if it doesn't contain a slash.  OK deraadt@

Since \. is not a character escape sequence, re-classify it from the
wrong parsing class ESCAPE_SPECIAL to the better-suited parsing class
ESCAPE_UNDEF, exactly like it is already done for the similar \\,
which isn't a character escape sequence either.

No formatting change is intended just yet, but this will matter for
upcoming improvements in the parser for roff(7) macro, string, and
register names.

See the node "5.23.2 Copy Mode" in "info groff" regarding
what \\ and \. really mean.

Use consistent spacing around assignments

Only constraints and verify need static linking in here.

Avoid the layering violation of re-parsing for \E in roff_expand().
To that end, add another argument to roff_escape()
returning the index of the escape name.
This also makes the code in roff_escape() a bit more uniform
in so far as it no longer needs the "char esc_name" local variable
but now does everything with indices into buf[].
No functional change.

Adjust lowest allowed routing priority to be bigger than RTP_LOCAL.
RTP_LOCAL is internally used by the kernel and is not available for
userland. The minimal usable routing prio is 2.
OK tb@

Use a common idiom to check if the user supplied routing priority is
in range. Also rephrase the error message.
OK tb@

Cleanup ktable_exists() usage and its warning message.

Check the return value in all cases and use a common idiom for this check.
OK tb@

Adjust some warning messages to be a bit more accurate. ktable_update()
actually loads a routing table and not really an rdomain.

When running sysupgrade on -stable move to the next release, not
-current.
Found the hard way by & OK sthen

Implement and enable IPv4, TCP, and UDP checksum offloading for igc.

ok kevlo@

Stop hiding a few assertions behind the opt-in LOCKF_DIAGNOSTIC option.
This code has already been exercised quite extensively by syzkaller and
got decent test coverage.

enable aq(4) on arm64 now that it works reasonably well

Fix a buffer overrun in the roff(7) escape sequence parser that could
be triggered by macro arguments ending in double backslashes, for
example if people wrote .Sq "\\" instead of the correct .Sq "\e".

The bug was hard to find because it caused a segfault only very rarely,
according to my measurements with a probability of less than one permille.
I'm sorry that the first one to hit the bug was an arm64 release build
run by deraadt@.  Thanks to bluhm@ for providing access to an arm64
machine for debugging purposes.  In the end, the bug turned out to be
architecture-independent.

The reason for the bug was that i assumed an invariant that does not exist.
The function roff_parse_comment() is very careful to make sure that the
input buffer does not end in an escape character before passing it on,
so i assumed this is still true when reaching roff_expand() immediately
afterwards.  But roff_expand() can also be reached from roff_getarg(),
in which case there *can* be a lone escape character at the end of the
buffer in case copy mode processing found and converted a double
backslash.

Fix this by handling a trailing escape character correctly in the
function roff_escape().

The lesson here probably is to refrain from assuming an invariant
unless verifying that the invariant actually holds is reasonably
simple.  In some cases, in particular for invariants that are important
but not simple, it might also make sense to assert(3) rather than just
assume the invariant.  An assertion failure is so much better than a
buffer overrun...

change amd64 pmap_convert to return void

There are no other return options, so adjust function signature to
void. This also allows for cleaning up its usage in vmm(4) in the
vm pmap initialization logic.

ok mlarkin@

callers to pf(4) must continue to run with packet as returned
by firewall.

OK dlg@

remove unused pmap_convert prototype from i386

Leftover lint from early days of vmm(4).

ok mlarkin@

If escape-time is 0, force to 1 instead - not waiting at all is asking
for problems on some platforms.

Remove a confusing comment that has been stale since e2k19 (r1.26).

Add a regress test for the end of lock range ambiguity bug.

Fix ambiguity with lock range end

When the user requests a lock range that ends at LLONG_MAX, replace
the end point with the special EOF value -1. This avoids ambiguity
with lf_end in lf_split(). The ambiguity could result in a broken
data structure.

This change is visible to userspace in a corner case. When a lock range
has been requested with an end point at absolute position LLONG_MAX,
fcntl(F_GETLK) returns l_len == 0, instead of a positive value, for that
range. This seems consistent with FreeBSD and Linux.

OK anton@

Reported-by: syzbot+c93afea6c27a3fa3af39@syzkaller.appspotmail.com

Fix lock range start when l_whence == SEEK_END and l_len < 0.

OK anton@

Limit the number of RSC checklist FileNameAndHash entries the same way
as mft FileAndHash entries are checked.

ok claudio job

Fix off-by-one in MAX_MANIFEST_ENTRIES check

ok claudio job

shrink dmesg output by printing the ethernet address on the attach line.

mark the mvneta interrupt handler as mpsafe.

link state changes still take the kernel lock, but packet processing
is unlocked now.

rework the rx ring processing.

this is another big step toward making the code mpsafe, and makes
a bunch of ring operations such as dmamap syncs and register updates
get done once for the ring rather than for every packet.

mark mvneta_start mpsafe.

the interrupt handler is still under kernel lock, but at least you
can queue packets from another cpu concurrently.

dont have to say Ethernet address in dmesg, address is fine

trim some white space

rework tx start and completion.

this is a big step toward making the code mpsafe, and makes a bunch
of ring operations such as dmamap syncs and register updates per
start/completion call rather than per packet.

Make sure we error on parse failure.

ok claudio

Rudimentary implementation of the \A escape sequence, following groff
semantics (test identifier for syntactical validity), not at all
following the completely unrelated Heirloom semantics (define
hyperlink target position).

The main motivation for providing this implementation is to get \A
into the parsing class ESCAPE_EXPAND that corresponds to groff parsing
behaviour, which is quite similar to the \B escape sequence (test
numerical expression for syntactical validity).  This is likely
to improve parsing of nested escape sequences in the future.

Validation isn't perfect yet.  In particular, this implementation
rejects \A arguments containing some escape sequences that groff
allows to slip through.  But that is unlikely to cause trouble even
in documents using \A for non-trivial purposes.  Rejecting the nested
escapes in question might even improve robustnest because the rejected
names are unlikely to really be usable for practical purposes - no
matter that groff dubiously considers them syntactically valid.

fix spacing;

Fix typo: argv[1] -> argv[i]

Remove old checklists and add a couple of new ones.

The pflow regression test could fail due to a race where the close(2)
call of the receiver was called before the FIN on the sender was
processed.

OK bluhm@
OK anton@

I made non-trivial contributions to these files.

Shuffle two helper functions down.

This way the helper functions appear in the order they are used in
rsc_parse_econtent().

Update reference to RSC draft 08

ok claudio job

Remove now unused ASN1_frame() and cms_econtent_version()

ok claudio job

Rewrite rsc.c using ASN.1 templates

This implements the constrained versions of the RFC 3779 structures
since OpenSSL's 3779 API doesn't expose IPAddrBlocks. This way we can
also avoid extra checks after walking the structs. Use the previously
exposed sbgp_as_{id,range}() and sbgp_addr{,_range}() to remove a lot
of copy-pasted code.

While parsing ConstrainedASIdentifiers allocate only once and for
ConstrainedIPAddrBlocks allocate once per address family instead of
doing a reallocation for each asid or prefix.

This removes the last explicit use of ASN1_TYPE and ASN1_SEQUENCE_ANY
from rpki-client.

ok claudio job

Prepare rewrite of rsc.c with templated ASN.1

Change signatures of various functions to avoid using struct parse and
expose sbgp_as_{id,range}() and sbgp_addr{,_range}() so they can be used
from rsc.c. This is a mostly mechanical diff.

ok claudio job

Trivial patch to put the roff(7) \g (interpolate format of register)
escape sequence into the correct parsing class, ESCAPE_EXPAND.
Expansion of \g is supposed to work exactly like the expansion
of the related escape sequence \n (interpolate register value),
but since we ignore the .af (assign output format) request,
we just interpolate an empty string to replace the \g sequence.

Surprising as it may seem, this actually makes a formatting difference
for deviate input like ".O\gNx" which used to raise bogus "escaped
character not allowed in a name" and "skipping unknown macro" errors
and printed nothing, whereas now it correctly prints "OpenBSD".

Add a missing space.

ssh-keygen: implement "verify-required" certificate option

This was already documented when support for user-verified FIDO
keys was added, but the ssh-keygen(1) code was missing.

ok djm@

Trim menu item text correctly, GitHub issue 3197.

Introduce a integration test for max-communities

Extend community unit test to also check community_count()

Implement a max communities filter match

When max-communities X is set on a filterrule the filter will match when
more than X communities are present in the path. In other words
max-communities 0 means no communities are allowed and max-communities 3
limits it up to 3 communities.
There is max-communities, max-ext-communities and max-large-communities
for each of the 3 community attributes. These three max checks can be used
together.
OK tb@ job@

sync

Dummy implementation of the roff(7) \V (interpolate environment variable)
escape sequence.  This is needed to get \V into the correct parsing
class, ESCAPE_EXPAND.

It is intentional that mandoc(1) output is *not* influenced by environment
variables, so interpolate the name of the variable with some decorating
punctuation rather than interpolating its value.

knf; fix whitespace in structs

sfgpio(4)

Add sfgpio(4), a driver for the GPIO controller found on the
SiFive FU740 SoC.

ok jca@

grep(1): print full context when using match count

When using the match count flag (-m), grep was not printing the
context after the match if the -A or -C flags were provided.

This changes the logic to continue printing lines after hitting the
match count.

ok op@, millert@

Replace selwakeup() with KNOTE() in pipe event activation.

Recommit the reverted change selectively so that only pipes are
affected. Leave sockets untouched for now.

Remove duplicates from completion list, GitHub issue 3178.

Add pane_start_path to match start_command.

Set PWD so shells have a hint about the real path (this was done before
but lost in a merge). GitHub issue 3186.

Fix property name from Sergei Dyshel, and a typo from imcusg at gmail
dot com.

Check if args_strtonum argument is NULL or not a string, from Anindya
Mukherjee.

Do not allow pipe-pane on dead panes, from Anindya Mukherjee, GitHub
issue 3174.

If a mouse position was above the maximum supported by the normal mouse
protocol (223), tmux was allowing it to wrap around. However, since tmux
was not correctly handling this on input, other programs also do not
handle it correctly, and the alternative SGR mouse mode is now
widespread, this seems unnecessary, so remove this feature. Also define
some constants to make it clearer what the numbers mean. Mostly from
Leonid S Usov in GitHub issue 3165.

Add a way for lines added to copy mode to be passed through the parser
to handle escape sequences and use it for run-shell, GitHub issue 3156.

iTerm2 has OSC 7, from Gregory Anders.

Spacing/style nits.

Emit window-layout-changed on swap-pane, from George Nachman.

Better error reporting when applying custom layouts.

Do not send focus sequences when focus is enabled or disabled by the
application if it is turned off. GitHub issue 3142.

Add an ACL list for users connecting to the tmux socket. Users may be
forbidden from attaching, forced to attach read-only, or allowed to
attach read-write. A new command, server-access, configures the list.
tmux gets the user using getpeereid(3) of the client socket. Users must
still configure file system permissions manually. From Dallas Lyons and
others.

move bufsz description after appbufsz as per struct fields order

ok ratchov@

make a first pass at providing kstats from the hardware counters.

mvneta counters are read to clear, so we accumulate them over time.
they are also mostly 32bit, except for 2 of them, so this handles
all the 32bit counters in a loop and deals with the 64bit ones as
exceptions.

i can see rx drops now, but not the rx rx counters yet. i'll figure
it out.

this is mostly inspired by em(4).

tell the compiler about the tx/rx desc alignment.

this leads to better (and shorter) code.

ok patrick@