Add 'p' trace point for KTRFAC_PLEDGE, as noted by
Michal Mazurek <akfaew@jasminek.net>

While here, fix handling of -t+ in ltrace.

Remote regression tests should not run ssh with -t all the time.
This will make it easier to automate them.

Polish:
 - copy #define workaround from mips64 to avoid dangling __CERROR symbol
 - remove trap DL_SYSCALL2_NOERR() macro with comment explanation
 - make DL_SYSCALL2() self-contained
 - add END() and ENTRY() macros to make the symbol table shine

ok miod@

Add some unsigned overflow checks for extra_pad. None of these
are reachable with the amount of padding that we use internally.
bz#2566, pointed out by Torben Hansen. ok markus@

Updated advice^Wcode from miod@ for passing &_DYNAMIC to _dl_boot_bind

ok aoyama@

don't mix code and decls, ok tedu@

use memset to initialize the union

remove unused OPENSSL_NO_OBJECT case

ok tedu@

Initialize buffers before use, noted by Kinichiro Inoguchi.

ok beck@

Attach sunxi(4) based on the compatible property of the root node of the
device tree like we do on omap.  Add preliminary support for the sun5i
variant which corresponds to the A13 and A10s SoCs.

ok patrick@

getopt(3) can be called twice (once for bc and once for dc), so reinit getopt
ok deraadt@

strip back asn1parse; ok beck jsing
description of -out altered on jsing's advice

Talk about event API instead of libevent

Avoids inconsistent capitalization of libevent at start of sentence
suggested by and ok jmc@, ok bluhm@

support UTF-8 characters in ssh(1) banners using schwarze@'s
safe fmprintf printer; bz#2058

feedback schwarze@ ok dtucker@

Remove now obsolete parenthetical explanation (should have been part of
previous commit).

1. Update manpage in view of the change of behavior I introduced in -r1.27.

The bounds are taken inclusive and -w %d doesn't change the output of
integer random sequences anymore.  This is the same behavior as that
of Linux and NetBSD, but differs from FreeBSD and OS X.

Issue reported by Philippe Meunier on misc@.

2 Fix a bug from the same commit observed by Otto: if the precision is 0,
values may be printed out of bounds.  Fall back to the old behavior if at
least one bound isn't an integer.

General agreement expressed by otto@, tedu@, jmc@, sobrado@
Help with checking other operating systems by sobrado@.

Manpage ok jmc@.
Bugfix discussed with otto@ on icb

Adapt kettenis' pinctrl changes in imx to sitaracm and
pinctrl-single,pins to handle mux settings and pad configuration.

The fdt data has offsets from the start of the pinmux address range so
the am335x specific pinmux offset from the scm base is added to the
offsets.  This as not a new driver as sitaracm does manual table
driven pad configuration for gpio.  If all the offsets in the
ti_padconf_devmap table were reduced by the am335x pinmux offset (0x800)
it may make sense to map only the pinmux memory region and not the
scm superset.

looks good kettenis@

use the fdt root node instead of board ids to test for am335x

Set function pointers based on the fdt root node instead of board ids.
ok kettenis@ on an earlier version

Set function pointers based on the fdt root node instead of board ids.
ok kettenis@

sync

Remove potential overflow when validating message's length.

Also, use uint16_t for msg_type on gen_msg_hdr().

Fix parsing of mal-formed optional TLVs/Sub-TLVs.

We must detect if a TLV's length extends beyond the end of the containing
message. And, if so, send a fatal "Bad TLV Length" notification message.

Found with the Mu Dynamics Mu-8000 protocol fuzzer.

Fix sockopt name: ICMPV6_FILTER -> ICMP6_FILTER

remove an unused parameter that wasn't handled during a previous refactor
(reducing the number of XXXs in vmm)

Clean up OCSP_check_validity() a bit more.
- Return on first failure rather than continuing.
- Don't compare times by comparing strings that possibly were not parsable as a time.
ok deraadt@

Fix example: long long should be print with %lld

Support MSI-X in virtio

This increases performance for interrupt heavy loads.

While suspend/resume support for MSI-X is missing, this is also missing for
virtio. So no new issue there.

Currently, qemu's old "82441FX" pci-bridge is still blacklisted for MSI. But
MSI-X is used if qemu is started with "-M q35".

Add $OpenBSD$ / replace $Id$ with $OpenBSD$.

Remove octeon_disable_interrupt() and octeon_restore_status().
They are unused and equivalent to disableintr() and setsr().

While here, clean up a few other leftovers.

Fix typo in comment in three machdep.c files:

s/names are this level/names at this level/

from aalm@ - thanks

since we no longer pull source directly from openssl, the time is
right to try and trim some of the excess from this page. begin now
by cutting some of the fluff from the start.

the section on pass phrase arguments goes to the end of the page: it;s in
the way for now.

- add proxyjump to the options list
- formatting fixes
- update usage()

ok djm

Remove unused function process_frame() from arm_machdep.c

ok jsg@

remove unused vmm_activate function. all vmm-specific suspend/resume needs
are handled during cpu hatch.

Fix an incorrect shift value when calculating the mask for the VMCS MSR
list storage size. Noticed when attempting to get vmm(4) to nest under
Hyper-V.

remove some 12 year old code that was never correct, and never compiled
anyway due to a missing #include.

the code was originally intended to handle i386 SMP EISA machines with an
IOAPIC. Since the code never was compiled, and nobody has noticed or
complained for 12 years, I think things are probably fine.

remove some unused #includes

Limit the support of the "backward compatible" ssl2 handshake to only be
used if TLS 1.0 is enabled. Sugessted/discussed with jsing@ and bcook@.
ok guenther@ sthen@

Remove duplicated line in omap mmc driver, which would cause
clkbase to be set to 0 (if it wasn't all commented out anyway).

ok patrick@

Remove duplicate line in amd64/acpi_machdep.c

ok krw@

To remove the const qualifier from a pointer to an object - either
because we know it is actually mutable or because we are passing
it to a function that doesn't accept a const object but won't
actually attempt to modify it - simply casting from (const type *)
to (type *) is legal C and clearly expresses the intent.
So get rid of the obfuscating UNCONST macro.
Basic idea discussed with guenther@.

Remove unused re_nbits from dev/rnd.c

"another leftover of the bean counter"

od tedu@ deraadt@

Fix previous: the mandocdb() prototype was already there, it just
hid among static functions, as noticed by tedu@ (my bad).

add missing prototypes, no code change;
noticed by Christos Zoulas with -Wmissing-prototypes

Improve logging of reserved labels.

Print "exp-null" and "imp-null" instead of "0" and "3", for example. Also,
remove print_label() and print_pw_type() from ldpctl.c and use the
equivalent functions from ldpd's log.c.

While here, be more paranoid and use UINT32_MAX instead of UINT_MAX
for NO_LABEL.

Explicitly ignore the Hop Count and Path Vector TLVs.

Since these are "well known" TLVs, we have to explicitly ignore them
otherwise ldpd would send "Unknown TLV" Notification messages when it
shouldn't.

Fixes regression caused by rev1.51.

Update per-neighbor GTSM options on config reload.

disable acpicbkbd by default until after the release when acpi ec
issues can be worked out, otherwise this driver will cause the
kernel to spin forever on certain chromebooks

Tweak output of environment logging.

Log environment to new panes.

Wrap some long lines and apply some static.

Switch m88k to pass &_DYNAMIC to _dl_boot_bind()

probably works: this ASM pattern is already used for _dl_dtors

take us out of -beta

Reduce the syslog level of some relatively common protocol events
from LOG_CRIT by replacing fatal() calls with logdie().  Part of
bz#2585, ok djm@

Don't update cells in each block of data read from a pane immediately,
instead track them as change (dirty) and update them once at the end,
saves much time if repeatedly writing the same cell. Also fix comparison
of cells being equal in a few places (memcmp is not enough).

Instead of representing colours in several different forms with various
cell flags, convert to use an int with flags marking 256 or RGB colours
in the top byte (except in cells, which we don't want to make any
bigger). From Brad Town.

Add a ProxyJump ssh_config(5) option and corresponding -J ssh(1)
command-line flag to allow simplified indirection through a
SSH bastion or "jump host".

These options construct a proxy command that connects to the
specified jump host(s) (more than one may be specified) and uses
port-forwarding to establish a connection to the next destination.

This codifies the safest way of indirecting connections through SSH
servers and makes it easy to use.

ok markus@

kern.usermount is currently a no-op;
ok deraadt

Make sure that amap slot calculation does not overflow

This prevents from too small amaps being allocated by
forcing the allocation of a large number of slots.

Based on an analysis from Jesse Hertz and Tim Newsham.

ok kettenis@

sync

kern.usermount=1 is unsafe for everyone, since it allows any non-pledged
program to call the mount/umount system calls.  There is no way any user
can be expected to keep their system safe / reliable with this feature.
Ignore setting to =1, and after release we'll delete the sysctl entirely.
ok lots of people

Drop received packets with an IPv4-compatible address as source or
destination as per RFC4213.

We're not in 1999 anymore, what was earlier a "stronger check than
RFC1933" is now a best practice.  This matches the behavior of the
reject (R) routes added by default by netstart(8).

ok jca@, florian@, claudio@, bluhm@

Do board-specific delay/skew corrections for the Micrel KSZ9021 and KSZ9031
PHYs based on device tree properties instead of the board ID.  Untested as
I don't have the hardware.

ok jsg@, patrick@

Prevent a use-after-free by not updating an ARP entry that has been
removed from the table.

Currently the storage for L2 addresses is freed when an entry is
removed from the table.  That means that we cannot access this
chunk of memory between RTM_DELETE and rtfree(9).

Note that this doesn't apply to MPLS because the associated storage
is currently released by the last rtfree(9).

ok mikeb@

vioblk: Properly handle poll timeout

The only way to ensure that the device does not do DMA for the timed out
request is a device reset.

Also increase the timeout to 15s

rename virtio_ops.intr to poll_intr

This describes more accurately what it is good for.

Also introduce a virtio_poll_intr macro.

virtio: Move interrupt handler into transport specific code

For MSI-X (and also possibly for other transports), the interrupt
handler must do different things.  Move it out of virtio.c and into
virtio_pci.

ARM part tested by patrick@

make several program to use "chown" promise.

it allows chown(2) call to change the user or group on a file.

- usr.bin/compress : aka gzip
- usr.bin/mg : open a file for writing
- usr.bin/sed : inplace editing
- usr.bin/sort : if outfile equals one of the input files

ok deraadt@ tb@

(and a reminder from Remi Locherer)

warning: in order to use it, you must have a recent kernel with the new
promise.

Add PT_GNU_RELRO, for ld.so work

ok millert@ kettenis@

Prevent silly states via knotes on pids > 2^32 and on nonexistent signals.

ok tedu@

ufs_readdir() buffer was meant to be limited to 64kB; reversed test
permitted very big mallocs to panic the kernel.

reported by Tim Newsham
ok millert@

kevent validates that ident is a valid fd by getting the file. one sad
quirk: uint64 to int32 truncation can lead to false positives, and then
later in the array sizing code, very big mallocs panic the kernel.
add a check that the ident isn't larger than INT_MAX in the fd case.
reported by Tim Newsham

Correct equal in test.

A work-in-progress driver for the Hyper-V NetVSC

Network VSC is an RNDIS device using NVSP protocol to communicate
with the Hyper-V VMBus via VMBus channels and/or shared memory. The
code was ported from FreeBSD with some API changes and simplifications.

While the Rx path is nearly complete, packet transmition is not
implemented yet.

ok deraadt, mlarkin

When matching a day in the month, make sure that the date is still
in the month we are interested in after calling mktime(3).  This
fixes things like Sunday+5 for months where there is not a 5th
Sunday and the 31st day in months with less than 31 days.
From Andy Bradford

The "#address-cells" and "#size-cells" properties define the size
of the memory address and length information.  The root node passes
this information down to the children and it can be overwritten by
other nodes inbetween.  Pass these properties as part of the fdt
attach args, so that we can grab that information quickly inside
the drivers.

ok kettenis@

ross l richardson reports that an auto reply is no longer generated
on submission, so remove that sentence (correct me if this is wrong);

while here replace some mandoc chars;

output the no-longer-so-new AS operators when printing the
configuration
noticed by and diff from Denis Fondras, thanks!

ok phessler@ sthen@

Since mappings established using __MAP_NOFAULT will be converted into anonymous
memory if the file backing the mapping is truncated, we should check resource
limits.  This prevents callers from triggering a kernel panic and a potential
integer overflow in the amap code by forcing the allocation of too many slots.

Based on an analysis from Jesse Hertz and Tim Newsham.

ok deraadt@

Revert previous; the __MAP_NOFAULT test is inverted and the commit message is
wrong.

Move ARP processing back to the KERNEL_LOCK()ed task until the race
triggered by updating a cached, but removed from the table, entry is
properly fixed.

Diff from dlg@, prodding deraadt@

Adjust existing tls_config_set_cipher() callers for TLS cipher group
changes - map the previous configuration to the equivalent in the new
groups. This will be revisited post release.

Discussed with beck@

Split the existing TLS cipher suite groups into four:

"secure" (TLSv1.2+AEAD+PFS)
"compat" (HIGH:!aNULL)
"legacy" (HIGH:MEDIUM:!aNULL)
"insecure" (ALL:!aNULL:!eNULL)

This allows for flexibility and finer grained control, rather than having
two extremes (an issue raised by Marko Kreen some time ago).

ok beck@ tedu@

Since mappings established using __MAP_NOFAIL will be converted into anonymous
memory if the file backing the mapping is truncated, we should check resource
limits.  This prevents callers from triggering a kernel panic and a potential
integer overflow in the amap code by forcing the allocation of too many slots.

Based on an analysis from Jesse Hertz and Tim Newsham.

ok deraadt@

remove <0 check for an unsigned variable
from tom

remove unused function ether_cmp()
from tom

Use the device tree voltage regulator information to supply power to the USB
bus.  For this only supports "fixed" regulators that are controlled through a
gpio.  But this covers all the case we currently handle with board ID specific
code.  Note that the old code did explicitly remove power first on some boards,
which would reset bus-powered devices/hubs on the bus.  The new code doesn't do
this.  If that causes problems we can revisit the issue.  The boards that would
be affected are sabrelight/nitrogen6x and utilite.

The plan is to evolve this into a generic regulator framework that supports
more complex regulator types as well.

ok jsg@, patrick@

Introduce RTF_MULTICAST and flag corresponding IPv6 routes as such
instead of abusing RTF_CLONING.

Fix a leak reporeted by Aaron Riekenberg on misc@, ok sthen@

CPUID vendor ID was already register-swapped during initial query, so no
need to do it again.

Fix usage() output and getopt sorting

store nd6 expiries in the route, not separately in the llinfo struct.

this makes it more consistent with arp, and makes expiries visible
via route(8) get as well as ndp(8).

ok mpi@ florian@

Document that the syslogd options -c and -k must be used together.
OK jmc@

Reset the mt state completely in wsmouse_mt_init.

ok kettenis@

The only valid flag for unmount(2) is MNT_FORCE, ignore any others.
Fixes a crash when MNT_DOOMED is passed in the flags to unmount(2)
found by NCC Group.  OK bluhm@

Turn ahci(4) glue code for the i.MX6 platform into its own imxahci(4) driver
such that we can don't end up with conflicting attachments of other
SoC-specific glue code.

Change over to imxehci(4) here as well.

Link path MTU discovery regress test into build.

Allow to run the syslogd tests as root without SUDO also if the
libevent method environment is set.

Turn ehci(4) glue code for the i.MX6 platform into its own imxehci(4) driver
such that we can don't end up with conflicting attachments of other
SoC-specific glue code.

ok jsg@, patrick@