Be explicit that the user is responsible for freeing the line buffer
and show this in the example.

enable tame(2) in who(1).

some refactor to grab ttyname(0) early and use it later.
gradually drop tame requests when no more needed.

"ioctl" is used for grab ttyname(0)
"rpath" is for -T and -u flag, that used stat(2) to get terminal status

initial patch from deraadt with help from guenther

ok deraadt@

include PubkeyAcceptedKeyTypes in ssh -G config dump

tame "stdio cpath". The cpath is for rmdir(). Tame bundles all the system
calls that create/destroy filesystem paths in the "cpath" request.

We cannot tame if -R is specified, because mknod and mkfifo may be called.
But in other cases, we can use tame "stdio rpath wpath cpath fattr", including
for the historical -r option.

easy size for free(); ok mpi

easy free sizes; ok mpi

UsePrivilegeSeparation defaults to sandbox now.

ok djm@

tame "stdio rpath wpath cpath" to support use of freopen() with "w"

tame "stdio inet rpath wpath cpath" supports all the functions of tftp.

tame "stdio rpath".  no uid/user resolution happening here.

tame "stdio wpath cpath", since tee creates & writes to a list of files
ok semarie

tame "stdio cpath rpath fattr", unless mkdir -m is passed a mode which
has setuid/setgid/sticky bits.
ok semarie

Oops, not quite ready for tame() here.  People need time to update
their kernels, before it starts using the new "exec" primitive.
HINT: everyone, update your kernels, tame is coming to make really soon.

*** empty log message ***

tame "stdio rpath", for the open with O_RDONLY.
ok semarie

tame "stdio rpath", satisfies the fopen cases
ok semarie

tame "stdio rpath", which covers readlink() and realpath()
ok semarie

tame "stdio"; username information does not use getpw

tame "stdio rpath getpw". getpw is for user_from_uid(), which is a libc
cache on top of the getpw* functions.
ok semarie, who didn't spot the getpw need :)

getaddrinfo_async() shouldn't unconditionally intialize the resolver
via _asr_use_resolver().  If the hint specifies for AI_NUMERICHOST,
create a transient lookup context which won't try to open /etc/reslov.conf
ok eric guenther

getaddrinfo() should not res_init() unconditionally, but allow lower
layers to decide.  The request could be AI_NUMERICHOST.  [And the process
could be tame()-constrained to not open /etc/resolv.conf]
ok eric guenther

include <sys/time.h> for gettimeofday(2)

rn_inithead() offset argument is now specified in byte, missed in previous.

Make rtable_get() private to ensure it won't be used outside of
net/rtable.c.  This will ease the introduction of rtable_put().

Routing tables are mapped to a tuple (idx, af) so the public API
should as much as possible require these two keys.

ok dlg@

Initialize the routing table before domains.

The routing table is not an optional component of the network stack
and initializing it inside the "routing domain" requires some ugly
introspection in the domain interface.

This put the rtable* layer at the same level of the if* level.  These
two subsystem are organized around the two global data structure used
in the network stack:

- the global &ifnet list, to be used in process context only, and
- the routing table which can be read in interrupt context.

This change makes the rtable_* layer domain-aware and extends the
"struct domain" such that INET, INET6 and MPLS can specify the length
of the binary key used in lookups.  This allows us to keep, or move
towards, AF-free route and rtable layers.

While here stop the madness and pass the size of the maximum key length
in *byte* to rn_inithead0().

ok claudio@, mikeb@

Correct handling of enum attributes with g++

gcc and g++ can currently have different ideas on the size of a
packed enum type:

enum __attribute__((packed)) foo { a = 0, b};

gcc: 1
g++: 4

enum foo { a = 0, b} __attribute__((packed));

gcc: 1
g++: 1

The first format is actually the preferred one according to the
documentation.
https://gcc.gnu.org/onlinedocs/gcc-4.2.1/gcc/Type-Attributes.html
g++ will accept the first format and silently not actually choose a
smaller size.

This was responsible for memory corruption with recent versions
of Mesa where c and c++ code share a header with a packed enum type.

The problem was reported in
https://gcc.gnu.org/bugzilla/show_bug.cgi?id=39219
and fixed in gcc >= 4.3.6 in rev 144284.
This was after the switch from gplv2 but it's a trivial one line change.

ok guenther@ deraadt@ kettenis@

In i915_gem_fault(), move the "out" label after the switch state such that we
don't interpret one of the VM_PAGER_XXX return values as an unhandled errno
value and return the intended code instead of VM_PAGER_ERROR.

ok jsg@

Couple of memory leaks in error paths, from Frederik Vanderstraeten.

Move route entry debug helpers where they belong.

Move the reference counting of a newly created route entry inside
rtable_insert().

inputs and ok bluhm@

Do not call bpf_catchpacket() if another CPU detached a file from the
corresponding interface.

bfp_tap() and _bpf_mtap() are mostly run without the KERNEL_LOCK.  The
use of SRPs in these functions gives us the guarantees that manipulated
BPF descriptors are alive but not the associated interface desctiptor!
And indeed they can be cleared by another CPU running bpf_detachd().

Prevent a race reported by Hrvoje Popovski when closing tcpdump(8) with
an IPL_MPSAFE ix(4).

ok mikeb@, dlg@, deraadt@

tame "stdio rpath".  could go crazy and handle the non-filename case,
but i am feeling some fatigue.

tame "stdio rpath" initially.  if no files, go to tame "stdio".

tame "stdio rpath getpw" before getpwuid and opening, then tame "stdio"

tame "stdio rpath wpath cpath tmppath tty".  "tty" is the important part
here, permitting use of readpassphrase()

tame "stdio rpath wpath cpath" covers mkstemp (O_RDONLY|O_CREAT),
mkdtemp(), and unlink()

tame "stdio".  It would take some doing for this to contain a bug, but
just in case -- now it can barely do anything when it goes wrong.

tame "stdio".  I doubt there is a bug in the environment parsing code.
But if there is, and this program is taken control of, it is quite limited
in the system calls it can do.

tame "stdio rpath wpath cpath" handles all the cases of opening files

patch(1) can move to "stdio rpath wpath cpath tmppath fattr proc exec"
(adding proc exec), now that "exec" has arrived in the kernel.  This
permits the dangerous game of feeding ed-style diffs with popen() via
/bin/ed.  Shocked yet?  Your mission, should you choose to accept it,
is to replace this code with an builtin ed-style patcher, maybe cribbing
code from ed itself.

I'm sorry, but we can't fix the entire world all at once.  Noone loves
deprecating standarized features as much as we do, but there are some
lines.  Maybe if people become aware of how crappy the implimentations
of some standard features are, they could help decide the path.

tame "stdio rpath"

tame "stdio rpath"

tame "stdio rpath wpath cpath" or a more mundane "stdio rpath", depending
on which arguments the programs are run under.
ok doug

tame "stdio rpath wpath".  rpath is for localtime() and mktime(),
while wpath is for logwtmp(), a bit pessimistically since it is not clear
what could happen.
This is done AFTER the time is potentially set, since settimeofday() is
not available to us.  Improvements and tests would be welcome.

tame "stdio rpath wpath cpath proc exec tty".  proc and exec because ed
it is a shell (it has a !command).  tty because it uses TIOCGWINSZ in
a SIGWINCH handler.

tame "stdio inet rpath cpath wpath proc" seems to be sufficient for
all the wading in here.  "proc" is for the speed command, which fork()'s.
ok doug

move from tame "ioctl" to tame "tty", which provides a better fit for
this program which uses tcgetattr().  the tcsetattr() calls are outside
the tame regions.

tame "stdio getpw rpath wpath tty".  "tty" allows this to use
readpassphrase().

We continue our tour through obscure BSD <word escapes me>.   This stdio-based
program may open files arbitrarily, so tame "stdio rpath" it from the start.

tame "stdio rpath" at the start, then potentially some files are opened.
After that, tame "stdio" because that's all this program does.

tame "stdio rpath wpath cpath" to cover all the file opening cases.
ok doug

tame "stdio rpath" for when paths are specified; otherwise tame "stdio"
for the stdin case.
ok doug

Add the tame "exec" request.  This allows processes which request
"exec" to call execve(2), potentially fork(2) beforehands if they
asked for "proc".  Calling execve is what "shells" (ksh, tmux, etc)
have as their primary purpose.  But meantime, if such a shell has a
nasty bug, we want to mitigate the process from opening a socket or
calling 100+ other system calls.  Unfortunately silver bullets are in
short supply, so if our goal is to stay in a POSIX-y environment, we
have to let shells call execve().  POSIX ate the world, so choices do
we all have?
Warning for many: silver bullets are even more rare in other OS
ecosystems, so please accept this as a narrow lowering of the bar in a
very raised environment.
Commited from a machine running tame "proc exec" ksh, make, etc.

Add initial support for installing UEFI boot files to a GTP EFI System
Partition. Further work to be done in-tree.

ok deraadt@

don't try to change tun device flags if they are already what
we need; makes it possible to use tun/tap networking as non-
root user if device permissions and interface flags are
pre-established; based on patch by Ossi Herrala

Note permissions for the crc32() code adapted from Hacker's Delight.

Prompted by deraadt@.

obvious tame "stdio".  For those not keeping score, this is another
program which has had string mismanagement bugs before, probably
of the exploitable fashion.. if used in the wrong kind of script..

tame "stdio rpath" if we have new files to open, otherwise tame "stdio".

obvious tame "stdio"

Remove an old and broken test snippet, from Michael McConville. ok millert

Drop the silly and distracting ACCEPT and REJECT macros, from Michael
McConville. No binary change. ok millert tedu

Move tree.c protos into tree.h, from Michael McConville, ok millert

oops, mistaken commit, spotted by naddy

0xffffffff is 32 bits, not 24 bits

ok deraadt

With growing functionality, the synopsis became long and confusing.
The syntax of some subcommands has almost nothing in common with the
syntax of others.  So split the synopsis to make it more readable.
"if you feel it helps, go for it"  jmc@ ajacoutot@

use ellipsis for arguments that can be repeated;
ok ajacoutot@ jmc@

A process should be able to do sigpending for itself

modernize style: "return" is not a function; ok cmp(1)

For TAME_PROC, allow setrlimit()

fix flowsrc spec, ok florian, thx ingo!

When "proc" is requested, allow setpgid() and sigsuspend().
Also the combination of "proc tty" needs to permit TIOCSPGRP.

This is the start at minimum semantics required by processes which
work on process groups, sessions, ttys.

we're running rm. call it rm too.

update "cmsg" tests: it lost TAME_SELF flag.

Move from tame "cmsg" to tame "sendfd" or "recvfd", depending on which
way the process moves fd's.

add some tests for rpath, wpath, cpath

Add new "tty" request, which allows TIOCGETA, TIOCGPGRP, TIOCGWINSZ,
TIOCSBRK, TIOCCDTR, TIOCSETA, TIOCSETAW, and TIOCSETAF on tty
vnodes. This helps programs which call tcsetattr(), tcgetattr(), or
readpassphrase().  Especially the latter - tame's goal is to satisfy
the libc requirements of security-sensitive programs.

Remove TIOCSETAF from the basic "ioctl" request, because it is a "set"
option. "ioctl" is slowly turning into a "request information, cannot
set options" package.

Split the "cmsg" request into "sendfd" and "recvfd".  Non-SCM_RIGHTS
messages are currently flowing through freely and we'll need to think
about that.  This split lets us more strictly describe what our many
fd-passing programs will do.

Make sure that tx_buffer->next_eop is properly set before we bump the number
of available descriptors, such that the interrupt handler doesn't attempt
to complete partially initialized descriptors.  Seems to fix the watchdog
timeouts reported by various people.

Tested by Mattieu Baptiste and Gregor Best.
ok mikeb@

Remove the -C option that converts an S/Key database to the new format. It has
been 13 years since the new format was introduced.

OK millert@

Don't burden keycrunch_{md5,sha1,rmd160}() with identical code to prepare a
buffer based on whether they are called by keycrunch() or f(). Instead let
keycrunch() and f() take care of this themselves.

OK millert@

Update path in comment; OK millert@

clear out some more legacy code and whatnot

Rework the tame cmsg handler to make it work both ways. While on recv one
mbuf blob with all the cmsgs inside while on send cmsgs in an mbuf chain,
one mbuf per message. Adjust the calls accordingly.
Putting it in so deraadt@ can move forward.

rmdir() is just a CPATH operation; remove RPATH marker that snuck in.

Make sure that all padding bytes in cmsgs are actually zero by memset
CMSG_SIZE(len) bytes of the mbuf.

oops, namei was never allowing through valid CPATH operations

Add getrusage() to the TAME_SELF catagory.

Fix buf leak in error path. ok gilles@ eric@

only modifies data, stdin to stdout, so tame "stdout"

use tame "stdio rpath wpath cpath fattr".  There is some timezone
database stuff here which goes further than most programs, but the
neccessary files are readable using "rpath".

simple tame "stdio rpath"

tame "stdio rpath" before opening the file, tame "stdio" after that

prefer limits.h over sys/limits.h

ok deraadt@

Simple update for pdf, from file 5.x.

Make iwm(4) set the MAC address the same way other wireless drivers do.
ok mpi@

we don't need this temporary buffer since we're going to strdup() it right
away anyways

ok eric@

Another simple update for xwindows, from 5.x.

Log the matched offset (and the new offset) instead of just of the new
offset (as if it was where the match was found).

ssh and ssl key file magic, from file 5.x.

Another simple update from file 5.x.