PF_ANCHOR_STACK_MAX is insufficient protection against stack overflow.
On amd64 stack overflows for anchor rule with depth ~30. The tricky
thing is the 'safe' depth varies depending on kind of packet processed
by pf_match_rule(). For example for local outbound TCP packet stack
overflows when recursion if pf_match_rule() reaches depth 24.

Instead of lowering PF_ANCHOR_STACK_MAX to 20 and hoping it will
be enough on all platforms and for all packets I'd like to stop
calling pf_match_rule() recursively. This commit brings back
pf_anchor_stackframe array we used to have back in 2017. It also
revives patrick@'s idea to pre-allocate stack frame arrays
from per-cpu.

OK kn@

Rework the main <-> parser/filemode communication protocol a bit.

Swap repo_id and filename to simplify the code in parser.c. In filemode
both repo_id and filename are ignored.
Additionally do not errx() in case of unknown file types. Instead send back
enough info that the code can move on.

OK tb@

Clean up struct nd_opts, use nd6_options() function local variables

nd_opts_search is really the next option, so call it next_opt.

nd_opts_done == 1 means next_opt == NULL, i.e. no more option to handle,
so zap the former and use the latter to stop.

Finally drop the useless struct members, all under _KERNEL.

OK claudio

Inline nd6_option() helper, remove indirections

Move the function body into the while loop, merge identical variables,
pull the `invalid' label out of the loop and straighten `skip' into the
`skip1' label.

Merging nd6_option() into nd6_options() is now much clearer after the
previous clean up.

nd_opts_{search,last,done} are now clearly "private" to n6_options() and
can be cleaned up from struct nd_opts next.

OK claudio

Clarify nd6_option() return semantics

nd_opts_last is set only once in nd6_options() during struct init and
guaranteed non-NULL as it is set to the function's argument *opt which
is passed in as (struct_ptr + 1) in both callers.

nd6_option(), the internal helper, returns a pointer to the next option
or NULL, which means either "no option, ok" or "invalid option, fail".

Failure is signaled through nd_opts_last being NULL after nd6_option()
returned, which only happens if nd6_option() zeroed the whole *ndopts.

Move the two cases under mnemonic labels and zap the now obviously
redundant bzero() call in nd6_options().

OK claudio

Simplify nd6_options() initialise logic

nd_opts_{search,last,done} are exlusively used in the internal option
handling machinery;  the only two nd6_options() callers only use
nd_opts_{src,tgt}_lladdr.

nd6_options() always zeroes and initialises the caller's struct nd_opts.
If icmp6len is zero, i.e. if there are no ICMP6 header options left,
everything inside *ndopts is zero, except nd_opts_done=1 which is not
used by the callers.

Set the internal nd_opts_{search,last,done} members only when needed.

OK claudio

Merge common code into new nd6_dad_destroy()

The current code wrt. stopping DAD for and removing a particular IP from
the list is flawed.

Introduce a single nd6_dad_destroy() to the cleanup, so that there's
only one place to fix.

This is just a mechanical deduplication without significant behaviour
change;  in case a duplicated address was found, RTM_CHGADDRATTR now goes
out before cleanup, which should be no problem.

The nd6_dad_create() pendant could be done as well, but the end of
nd6_dad_start() is currently the only place where a new IP/DAD entry is
set up, so little gain besides function name symmetry.

OK claudio

sync with rpki-client 'more dastardly white spaces' commit

more dastardly white spaces

Zap trailing tabs

When OpenSSL is not available, skip parts of percent test that require it.
Based on github pr#368 from ren mingshuai.

Save debug logs from ssh for debugging purposes.

tweak previous; ok djm

regression test for ChannelTimeout

fix typo in verbose logging

If a pane is killed, cancel reading from the file. GitHub issue 3422.

unit tests for misc.c:ptimeout_* API

Implement channel inactivity timeouts

This adds a sshd_config ChannelTimeouts directive that allows channels that
have not seen traffic in a configurable interval to be automatically closed.
Different timeouts may be applied to session, X11, agent and TCP forwarding
channels.

Note: this only affects channels over an opened SSH connection and not
the connection itself. Most clients close the connection when their channels
go away, with a notable exception being ssh(1) in multiplexing mode.

ok markus dtucker

Add channel_set_xtype()

This sets an "extended" channel type after channel creation (e.g.
"session:subsystem:sftp") that will be used for setting channel inactivity
timeouts.

ok markus dtucker

tweak channel ctype names

These are now used by sshd_config:ChannelTimeouts to specify timeouts by
channel type, so force them all to use a similar format without whitespace.

ok dtucker markus

Add channel_force_close()

This will forcibly close an open channel by simulating read/write errors,
draining the IO buffers and calling the detach function.

Previously the detach function was only ever called during channel garbage
collection, but there was no way to signal the user of a channel (e.g.
session.c) that its channel was being closed deliberately (vs. by the
usual state-machine logic). So this adds an extra "force" argument to the
channel cleanup callback to indicate this condition.

ok markus dtucker

replace manual poll/ppoll timeout math with ptimeout API

feedback markus / ok markus dtucker

add ptimeout API for keeping track of poll/ppoll timeouts;
ok dtucker markus

more consistently name pf_state * variables "st".

pf_state ** are generally called "stp" now too.

discussed with and ok sashan@

do not blow up if NOMAN is set

after a few trap.c were fixed to fault with the right access, the
signal trampoline can now be PROT_EXEC (without PROT_READ) everywhere
ok kettenis

The access type for a prefetch abort should not include PROT_READ,
otherwise faults on executable pages mapped only as PROT_EXEC will
not work.

ok deraadt@

Add a dummy --no-execute-only option for compatibility with ld.lld.
This will allow ports people to sprinkle -Wl,--no-execute-only across the
ports tree when necessary without having to distinguish between ld.bfd and
ld.lld arcitectures.

ok deraadt@, sthen@

pfctl fails to add addresses to undefined/inactive table

pfr_add_tables() function must set PFR_TFLAG_ACTIVE flag
to table which is attached to rule. This will then allow
pfr_add_addrs() to populate the table with addresses.

without this pair of pfctl(8) commands fails as follows:
    # echo 'pass from <foo> to any' |pfctl -f -
    # pfctl -t foo -T add 192.168.1.0/24
    pfctl: Table does not exist

OK mbuhl@

suppress "Connection closed" message when in quiet mode

Rewrite BN_rshift()

This improves readability and eliminates special handling for various
cases, making the code cleaner and closer to constant time.

Basic benchmarking shows a performance gain on modern 64 bit architectures,
while there is a decrease on legacy 32 bit architectures (i386),
particularly for the zero bit shift case (which is now handled in the
same code path).

ok tb@

Add additional shift benchmarks that are useful on BN_BITS2 == 32 platforms

Make free_chunks() return 'const struct chunk *' since we don't
modify chunks outside of free_chunks(). Adjust local variables taking
the return value as needed.

No intentional functional change.

Delete remnants of removed "diff -l" option.
From Nathan Houghton

Copy bytes from the_banana[] rather than banana()

Fixes test failure due to segfault seen on arm64 with xonly snap.

ok djm

The access type for an instruction storage interrupt should not
include PROT_READ, otherwise faults on executable pages mapped only as
PORT_EXEC will not work.

ok deraadt@

Use 'const struct disklabel *' parameters where the disklabel is
not altered. And 'const struct partition *' for pointers into
newly const disklabels.

No intentional functional change.

minor text shuffle, for clarity; ok millert

Eliminate two unnecessary 'i' loop variables by incrementing
the pointer instead.

No intentional functional change.

Print RRDP serial + ID if nothing changed

OK tb@

Implement strscpy() and implement strscpy_pad() on top of that.  Fixes the
return value in case of truncation.

ok jsg@

Replace p_fstype to/from FS_UNUSED dances around invocations of
free_chunks() with a parameter that names the partition to treat
as FS_UNUSED when building the list of free space chunks. With -1
indicating that no partition should be ignored.

Simplifies code and enables further simplifications and a raft
of const'ifications.

No intentional functional change. Regress still happy.
SUN_CYLCHECK, SUN_AAT0 and D_VENDOR still happy.

Eduardo Horvath agreed to rescind clause 3 and 4 in
NetBSD fgen.1 rev 1.9 cpu_in_cksum.S rev 1.2

https://mail-index.netbsd.org/source-changes/2009/10/19/msg002130.html

Christos Zoulas removed his name from advertising clauses and copyrights
of some files in NetBSD.  Make the same changes here.

https://mail-index.netbsd.org/source-changes/2017/06/03/msg084953.html
https://mail-index.netbsd.org/source-changes/2017/06/03/msg084955.html
https://mail-index.netbsd.org/source-changes/2019/12/02/msg111431.html
https://mail-index.netbsd.org/source-changes/2019/12/02/msg111432.html

Adjust open policy integration test to the change of config in bgpd.

Add a per eBGP session role to the config.

This somewhat replaces the RFC 9234 open policy role. This is done because
ASPA requires the same role to be present to properly validate paths.
For iBGP sessions the role is forced to ROLE_NONE. If no role is set on
an ebgp session then 'announce policy' is forced to 'no'.
Also make sure the the role capability is only added if the role is set.
OK tb@

The redirectchain test actually works again. The test servr fixed the
redirect location to be https.

When building this regress test I copied a bad UUID from some other
RRDP file and so a few files have bad unique ids, fix them up to be valid.

Validate the session_id to be a real UUID.

RFC 8182 requires the session_id to be a version 4 random UUID (using
variant 1). Now checking the version and variant is currently disabled
because there is at least one CA with a session_id that is all random
and therefor the version check triggers there.
Joint work with job@. OK job@, tb@

remove unused version of ncr53cxxx.c
ok deraadt@ miod@

experiments for --execute-only on arm64 and riscv64 are going well,
which will prompt making that the default.  That means efiboot, which
build in a different way, must disable the link option.
ok kettenis

Christos Zoulas agreed to rescind clause 3 and 4 in
NetBSD fsck.8 rev 1.35 fsutil.h rev 1.14 pathnames.h rev 1.2
netgroup_mkdb.8 rev 1.9 netgroup_mkdb.c rev 1.18 str.c rev 1.7
str.h rev 1.4 rdate.8 rev 1.11 rdate.c rev 1.19 extern.h rev 1.14
getnetgrent.c rev 1.41 netgroup.h rev 1.10
fparseln.3 rev 1.4 fparseln.c rev 1.10

our stringlist.c/stringlist.h are derived from getnetgrent.c
rfc868time.c from rdate.c
newfs/pathnames.h from fsck/pathnames.h

https://mail-index.netbsd.org/source-changes/2009/10/21/msg002182.html
Not all files are covered as some had copyright assigned to TNF in 1998.

ugly white space

Leo Weppelman agreed to rescind clause 3 and 4 in
NetBSD kvm_dump.3 rev 1.15 kcore.h rev 1.3

https://mail-index.netbsd.org/source-changes/2009/10/20/msg002169.html

move the pf_state_tree_id type from pfvar.h to pfvar_priv.h.

the pf_state_tree_id type is private to the kernel.

while here, move it from being an RB tree to an RBT tree. this saves
about 12k in pf.o on amd64.

ok sashan@

Michael L. Hitch agreed to rescind clause 3 and 4 in
NetBSD ncr53cxxx.c rev 1.16 osiop.ss rev 1.2

https://mail-index.netbsd.org/source-changes/2009/10/21/msg002215.html

Gordon W. Ross and Bill Studenmund agreed to rescind clause 3 and 4 in
NetBSD zs.c rev 1.49

https://mail-index.netbsd.org/source-changes/2009/10/27/msg002419.html

Gordon W. Ross agreed to rescind clause 3 and 4 in
NetBSD dev_net.c rev 1.15 bootparam.c rev 1.19

https://mail-index.netbsd.org/source-changes/2009/10/21/msg002212.html

- use Fl instead of Ar for print0; from josiah frentsos
- while here, describe it as a primary rather than an option

Ichiro FUKUHARA agreed to rescind clause 3 and 4 in
NetBSD if_ath_cardbus.c rev 1.36

https://mail-index.netbsd.org/source-changes/2009/10/21/msg002189.html

Chuck Cranor rescinded the advertising clause of uvm_mmap.c in
NetBSD rev 1.134 and confirmed with Mike Hibler that the University of
Utah would do the same.

https://mail-index.netbsd.org/source-changes/2011/02/02/msg018021.html

ok deraadt@

fix a comment, no functional change.

Typos in vmd error message. No functional change.

move the pf_state_tree rb tree type from pfvar.h to pfvar_priv.h

the pf_state_tree types are kernel private, and are not used by
userland. make build agrees with me.

while here, move the pf_state_tree from the RB macros to the RBT
functions. this shaves about 13k off pf.o on amd64.

ok sashan@

Shuffle code a bit to eliminate need for inner loop
variable 'j' in editor_allocspace().

No intentional functional change. Regress still happy.

on sh/landisk, ELF binaries are currently unpadded between text and rodata.
Comment says because no nx support.  Well, we'll soon be able to something
like nx, and need the rodata to not be mingled into the same pages as
executable, so enforce padding.
with kettenis, ok miod

No need to call editor_countfree() when displaying all the free
chunks in the 'r' editor command. Just add up chunks as they are
displayed. Eliminates pointless second invocation of
free_chunks().

Increment the chunk pointer rather than using iteration
variable + indexing.

No intentional functional change.

do not mention dhclient as a dhcp route message sender

Print the RRDP Session ID and Serial in verbose mode

OK tb@ claudio@

Poll battery sensors less frequently.

The software id in the request must be copied as is to the response by the
hardware. Leverage the fact that the same id can be anything within [1, 15] by
using a different id per request in a round robin fashion. Makes it easier to
correlate requests and responses while making sense of the debug output.

Group more request and response constants.

Query the client terminal for foreground and background colours and if
OSC 10 or 11 is received but no colour has been set inside tmux, return
the colour from the first attached client (probably most people will
have all light or or all dark terminals).

Disable display backlight on Apple Silicon laptops when suspending.

ok kettenis@ patrick@

Add tfind_user(), for getting a proc* given a user-space TID and
the process* that it should be part of.  Use that in clock_get{time,res}(),
thrkill(), and ptrace().

ok jca@ miod@ mpi@ mvs@

The access type for an instruction storage/segment interrupt should not
include PROT_READ, otherwise faults on executable pages mapped only as
PORT_EXEC will not work.

"obviously correct" deraadt@

Let the EFI bootloader make a copy of the EFI System Resource Table (ESRT)
and pass it to the kernel.

ok jca@, patrick@

Fix the check for the BWX extension introduced in 1.92.
This repairs operation on 21164 processors (not 21164A!) which lack BWX.

Reported by Mark Butt on alpha@

regression test for PermitRemoteOpen

fix bug in PermitRemoteOpen which caused it to ignore its first
argument unless it was one of the special keywords "any" or "none".

Reported by Georges Chaudy in bz3515; ok dtucker@

use the pf generated toeplitz hash when setting the mbuf flow id.

before this it would use the pf state id, which is just an increasing
number. the toeplitz hash is generated/used by the rest of the
stack, so this encourages consistent flow of traffic through the
system.

Clear status bits when we receive a host system error.  Otherwise the
interrupt keeps firing even if the hos controller has been declared dead.

ok mpi@

With the introduction of the PMAP_PREFER_{ALIGN,OFFSET} macros a long time ago,
there are actually no more uses of the PMAP_PREFER() macro left in the kernel.
Remove that macro but keep PMAP_PREFER as a simple #define for it to let uvm
knows the PMAP_PREFER_{ALIGN,OFFSET} macros are available.

ok mpi@

Add explicit LL suffixes to large constants to appease some compilers on
32-bit systems.

Add explicit LL suffixes to large constants to appease some compilers on
32-bit systems.

Add explicit LL suffixes to large constants to appease some compilers on
32-bit platforms; NFCI

ok tb@

Round up fractional percentages, as per POSIX.
From nabijaczleweli, OK deraadt@

Enable power management for PCI devices.

ok mlarkin@, deraadt@

copyright++;

update drm to linux 6.1.2

new hardware support includes

AMD
Raphael, Ryzen 7000 desktop, gfx1036/GC 10.3.6
Mendocino, Ryzen & Athlon 7020 Series mobile APU, gfx1037/GC 10.3.7
Navi 31, gfx1100 dGPU, GC 11.0.0, Radeon RX 7900 XT/XTX
gfx1101 dGPU
gfx1102 dGPU
gfx1103 APU

Thanks to the OpenBSD Foundation for sponsoring this work.

timeout.9: document new interfaces, miscellaneous rewrites and cleanup

- Document timeout_abs_ts(9).
- Add the kclock arguments to timeout_set_flags(9) and
  TIMEOUT_INITIALIZER_FLAGS(9).
- Document KCLOCK_NONE and KCLOCK_UPTIME.
- Mention the static initialization macros alongside timeout_set(9) etc.;
  keep relevant information adjacent.
- Mention timeout_add_sec(9) etc. alongside timeout_add(9); keep
  relevant information adjacent.

... plus many other cleanups, rewrites, and rearrangements.

Prompted by mvs@ and many others.  With input from jmc@, mvs@, kn@,
schwarze@, and probably a few others I have forgotten.

v1: https://marc.info/?l=openbsd-tech&m=162449274513068&w=2
v2: https://marc.info/?l=openbsd-tech&m=165851505627764&w=2
v3: https://marc.info/?l=openbsd-tech&m=167250339811308&w=2

ok jmc@ mvs@ schwarze@

Document that -P disables BLOCKSIZE support.
With input from and OK jmc@

timeout: rename "timeout_at_ts" to "timeout_abs_ts"

I think "abs" ("absolute timeout") is a better mnemonic than
"at" ("at the given time").

The interface is undocumented and there are only two callers, so
renaming it is not a big deal.

probably ok kn@

sync

Look for the first 2 mem regions, ignore the rest

Some macppc nvidia graphics cards have a 3rd mem region, but nv(4)
wants to mmap the 1st and 2nd regions.

ok miod@

crank libfido2 major version, it depends on libcbor and it just
cranked. ok tb@

update to upstream libcbor v.0.10.0 and crank major. Also includes
e308674c5d to fix PR259. This release includes a number of memory
leak fixes.

Disable the upsteam custom allocators feature.

Feedback/ok tb@

Thanks also to Pedro Martelletto for pointing out the new release as
well as PR259.

Let luna88k's bootloader pass RB_GOODRANDOM to the kernel.

Current bootloader can pass boothowto information to the kernel.  It
also has the capability to load random seed data from /etc/random.seed
already.  So set RB_GOODRANDOM at the bootloader when loadrandom() has
been finished successfully.

Now the kernel says "random: good seed from bootblocks".

Tested by LUNA-88K2 and nono emulator, "Absolutely!" ok miod@

sysctl_clockintr: clear "sum" with memset before copyout(9)

Add machdep.lidaction to machdep names list.

ok mpi@