unveil _PATH_DEVDB for devname().   All other filenames are opened
before unveil/pledge.

Reshuffle the way bgpd does the softreload after filter changes.
Walk each rib at most once and push it from there to all RIBs or peers
that need the update. Makes the logic more streight and so easier to run
in background.
Tested by and OK phessler@

Enable mue(4).
Tested on Orange Pi Plus 2E (armv7) and Orange Pi PC 2 (arm64).

ok jsg@

Move dns settings to global options so that they don't need to be
repeated in every interface block - they can still be overwritten
on a per interface basis.
Pointed out by, tweaks & OK sthen

document that wpakey needs a preceeding nwid OR join specification

ok phessler@

revert 1.133 and part of 1.131
the stack doesn't always fill in the paramaters correctly

reported by many

Account when the next nd6_timer_to is scheduled in nd6_timer()
otherwise nd6_llinfo_settimer() might wrongly assume that a timeout is
already scheduled earlier and not schedule one itself. This in turn
lead to the neighbor cache no longer updating because neighbor
solicitations were not send.
Observed by many.
OK kn

pledge() a little later, after getopt operation, when we know tty name.
We can then unveil the tty file, and pledge() as before.  No other files
are accessed after that point in time.

unveil of _PATH_DEVDB "/var/run/dev.db" can be done before pledge for
use by ttyname, no other files are accessed after that.

actually heed localbase when looking for groff

reorg groff runner so that failures are handled better
do the logic for manpage formatting better, so that we can't miss things
simplify filenames, fullname always has a slash

- exit in case of exec error.  Prevents code from continuing badly
- display error message on STDERR... better
- don't extract the code twice

- use memset() for for clearing hashtbl
- the switch case for IFM_100_TX was the same code as for IFM_1000_T so it
  can be rolled into one.

From Michael W. Bombardieri

tweak previous;

The first unveil userland commit!

unveil _PATH_LOGIN_CONF (/etc/login.conf) which is used by
login_getclass(3) and family before doing password encode.  This
is the only filename used by the program during runtime, everything
else happens on stdin/stdout.

This does not need pledge "wpath"

ni_pledge flags are a uint64_t not an int - don't initialize with an int.

Place a limit on the number of elements in a ber sequence/set. This prevents
possible stack overflow due to recursion in ber_free_elements().

ok claudio@

Add mue(4), a driver for Microchip LAN75xx/LAN78xx 10/100/1000 USB Ethernet
adapters.

"go ahead commit it" deraadt@

Log command arguments.

replace excessively wordy and fuzzy introduction
with a real HISTORY section;
OK jmc@ rob@

errno is never checked after a call to getuint64(). So there is no
point to getuint64() setting it to EINVAL when the user enters an
invalid value or aborts input with a ^D.

Grammar fix in comment.

ok deraadt@

Some wordsmithing. Comments and tweaks from deraadt, jmc, benno, and tb.

ok deraadt@

Split out the rule skipping logic into own function and by doing so ensure
that both filter lists are treated the same way. This fixes an inconsistency
with ibgp and ebgp filters as used in the example config.
OK benno@ sthen@

According to code (and testing), each is optional but at least
one must be present.
From Ross L Richardson, thanks
ok sthen@

It's an "X.509 certificate" rather than a "TLS certificate".
As pointed out by sthen@, TLS isn't the only possible use.
From Ross L Richardson
ok shten@

its a X.509 certificate, consistency with acme-client.conf.5
From Ross L Richardson
ok sthen@

Enable ssdfb(4) at I2C.

Add I2C attachment code to ssdfb(4).  The difference between the I2C
and SPI bus is simply how to let the chip know it's a command or data
transfer.  Otherwise we push the very same bits.

ntpd(8) has logic in place to delete its control socket on shutdown, but it
currently doesn't call the function control_cleanup to do so. The solution is
to simply call that function just before the program quits.

"sure" henning@

Make a few more rde specific functions static.

Make free_prefixsets() accept a NULL pointer. Makes it behave more like
all other free functions bgpd has.

session_groups can be static also.

Make key trees and some other bits static.

Minor tidying.

This brings the network code more in line with what regular update
processing does. It adds the prefix to Adj-RIB-In and if "log update" is
set it will also log the addition and removal of a prefix.
OK benno@

Add delay when increasing the voltage of a regulator that has a
"regulator-ramp-delay" property to guerantee that the target voltage has
been reached when regulator_set_voltage(9) returns.

ok patrick@

Make display-panes block the client until a pane is chosen or it times out.

Actually order the promises in their canonical form, missed that in my
previous commit.

heads up and OK tb@

Currently when eigrpd(8) shuts down then its unix control socket is being
unlink(2)ed from eigrpe engine process, the problem is that this proc is
chrooted and therefore the socket will never be deleted.
In order to solve it we need to bring control_cleanup() function, which calls
unlink(2), into the main proc which is not chrooted. This is the way it's
already done for several other daemons we have in our base.
Additionally we also need to move the "cpath" pledge(2) promise from the child
process to the main process in order for the latter to be allowed to delete the
socket and while here shuffle the promises into their canonical form.

OK florian@ and benno@

Fix panic when we attempt to mess with "." but have a flags mismatch
so unveil_check_final returns an error - in this case we can't
just VOP_UNLOCK the parent we have to know we are dealing with "."
found by anton@ - thanks

Test messing with "." both when having . unveiled for an operation, and
with . veiled without the right flags for an operation, since these
come out of namei differently and . is the bane of the special
LOCKPARENT corner cases - this tests a panic found by anton@

On AMD CPUs, If the LFENCE serialization MSR bit is already set, then
we don't need to uncondtionally set it.

Worksaround a suspected bug in newer Linux KVM, which may trigger a
#GP fault on writes to this MSR.

ok mlarkin@

Fix segmentation fault on radiusd(8) when exiting.
If one of the configured modules doesn't have a secret setup then
module->secret == NULL which would call strlen(NULL), within freezero(3),
and that shouldn't happen, but in this case since the call is done it
segfaults and the daemon is not properly shutdown.

cluebat stick provided by semarie@, OK tb@ and deraadt@

Fix an off-by-one string read access that could happen if an empty
string argument preceded a string argument beginning with "--".
Found by Leah Neukirchen <leah at vuxu dot org> with -Wpointer-compare.

Fix various RK3399 clocks and add support for getting the clock frequency
of the clocks that we can set.

Assign clock rates (and parents) based on the "assigned-clocks" device tree
property, but only on RK3399 for now as the code for the other Rockchip SoCs
isn't quite ready yet.

Last but not least, fixup a mistake on the firmware for the Theobroma
Systems RK3399-Q7 module such that the "big" cluster uses BPLL as intended.

After rewriting the parse buffer from scratch, we also have to reset
the parse point to the beginning of the new buffer or we risk out
of bounds accesses.  Bug found by Leah Neukirchen <leah at vuxu dot
org> with valgrind on Void Linux.

Initialize new lineflag member.

Avoid a read access one byte beyond the end of an allocated string
which occurred in situations like ".Fl a Cm --"; found by
Leah Neukirchen <leah at vuxu dot org> with valgrind on Void Linux.

Use a single space after colon in another errx().

Pointed out by Kris Katterjohn

Disallow negative reps, they make no sense. While here, sscanf -> strtonum.

From Kris Katterjohn on tech@.

ok tb@

Implement a partial update mechanism.  Since the SPI-connected display
cannot read the framebuffer memory, we have to push the framebuffer to
the display.  ssdfb(4) will now be able to update only a certain region
region of the framebuffer as soon as there is infrastructure to trigger
it.

Clarify that we chroot to the users home directory if -u is provided.
Pointed out by Andrew Daugherity (andrew.daugherity AT gmail), thanks!
Tweaks and OK jmc

Remove midsentence period.

document when -exec evaluates to true; from kris katterjohn
ok tb

while here, knock out a useless Tn;

Update a comment to include -delete, -execdir, -ls and -print0 among
the primaries that do not imply -print.  From Kris Katterjohn, thanks!

ok jmc

Document that -delete and -execdir prevent -print from being assumed.
From Kris Katterjohn, thanks.

ok jmc

update currency exchange rates;

Zap v4mask and v6mask in host()

Simply defer checks whether a mask has been specified to where it's set in
host_*(); this is to reduce address family specific code.

OK sashan

Relocate some public functions above the internal functions comment.

ok claudio@

Display color depth alongside resolution when attaching simplefb(4).

OK kettenis@, deraadt@

Reshuffle order in struct rde_peer a bit. No functional change.

Do not leak path or use it after free.

Stop reversing bytes read from the framebuffer.  That was added since
the 8x16 font showed horizontally flipped characters, but as it turns
out the issue is that with 8-bit wide fonts we use optimized rasops
code that apparently writes out the character with reversed bitorder.

Move struct screen_sel into screen.c and tidy up members that are only
used by copy mode.

Fix some debugging output now that ber type and encoding are unsigned int.

ok claudio@

Make ber type and encoding a unsigned int instead of unsigned long.
This way the size is the same on all archs and 32bit should be good enough.
OK rob@

Make ber type and encoding a unsigned int instead of unsigned long.
This way the size is the same on all archs and 32bit should be good enough.
OK rob@

Make ber type and encoding a unsigned int instead of unsigned long.
This way the size is the same on all archs and 32bit should be good enough.
OK rob@

Make ber type and encoding a unsigned int instead of unsigned long.
This way the size is the same on all archs and 32bit should be good enough.
OK rob@

Clear history on RIS like most other terminals do.

Implement setting the voltage of the regulators.

Correctly set the dividers for the clock of the "big" cores.

Fix setting the voltage; the code was using the wrong variable as a step size.
Includes some cosmetic fixes as well.

There is no longer the need to be careful in rde_softreconfig_in() when
traversing the prefix list. Since a while Adj-RIB-In is fully independent
and so updating the local RIB does not modify that list.
OK benno@

delay bailout for invalid authenticating user until after the packet
containing the request has been fully parsed. Reported by Dariusz Tytko
and Michał Sajdak; ok deraadt

fix some memory leaks spotted by Coverity via Jakub Jelen in bz#2366
feedback and ok dtucker@

KNF

Declare then assign local variable, no binary change.

If we keep the BIOS framebuffer, stick to the desired framebuffer size
instead of using the actual framebuffer size.  This fixes a problem seen
on various Apple machines where the BIOS framebuffer is bigger than the
actual display.

ok jcs@, mpi@

regen

Unlock sendmsg(2), sendto(2), recvfrom(2) and recvmsg(2).

ok kettenis@, sthen@, deraadt@, visa@, krw@

Replace fork with sniffer thread in Python.  Clear the BPF list
before sniffing, Scapy 2.4.0 remembers old packets that confuse the
test.

Add regress covering the recently fixed NULL pointer deref in open().

catch up with the symlink removal of /dev/{audio,mixer};
ok ratchov

Fix a NULL-pointer dereference when calling open() on a cloned device with write
permissions and the flags include O_TRUNC|O_SHLOCK.

ok deraadt@

improve consistency of markup for some variables, still far from perfect

recognize WSMOUSE_TYPE_TOUCHPAD devices

ok bru

define WSMOUSE_TYPE_TOUCHPAD so non-elantech drivers can stop
claiming to be elantech devices

Some cleanups and clarification, especially regarding locking (observed by rob)
ok beck jmc

sync

rename 2nd argument of unveil from vague "flags" to "permissions";
man page change will follow

Use the MI interrupt enable/distable API instead of the MD one on i386 and
remove the MD API.

ok deraadt@

Tweak history
Document that LOCALBASE changes may not work.
Be less dramatic about it, as it doesn't appear to be *that* bad.

byebye fake.mtree

Use FNONBLOCK instead of SS_NBIO to check/indicate that the I/O mode
for sockets is non-blocking.

This allows us to G/C SS_NBIO.  Having to keep the two flags in sync
in a mp-safe way is complicated.

This change introduce a behavior change in sosplice(), it can now
always block.  However this should not matter much due to the socket
lock being taken beforhand.

ok bluhm@, benno@, visa@

Inline trivial uaudio_id_name(). From Michael Bombardieri, thanks.

"looks good" kn@

Remove a leftover unused struct.

Don't ask drivers to join a wifi network before an AP has been chosen.
Should fix a panic with bwfm(4) reported by mlarkin@
ok phessler@