stubby: add SPKI pin set for Cloudflare cert

Add an SPKI pin for Cloudflare to help prevent MITM and downgrade attacks,
as described in RFC7858 (DNS over TLS). The setup of SPKI and the specific
SHA256 certificate hash are taken from Cloudflare's DoT configuration guide
published at https://developers.cloudflare.com/1.1.1.1/dns-over-tls/.

Note that the certificate is valid to March 25th 2020, 13:00 CET, which
provides ample time for issuance of a backup pin to support future key
rollover.

Signed-off-by: Tony Ambardar <itugrok@yahoo.com>

stubby: add Cloudflare 1.0.0.1 and ::1001 servers

Signed-off-by: Tony Ambardar <itugrok@yahoo.com>

stubby: use EDNS client-subnet privacy by default

Retain the upstream value since privacy is usually the key user motivation
for using DNS-over-TLS, and simply note that those encountering sub-optimal
routing may consider disabling the setting.

Signed-off-by: Tony Ambardar <itugrok@yahoo.com>

stubby: fix config file definition

The config file /etc/stubby/stubby.yml is not registered properly and any
local changes are being overwritten on upgrade or reinstall.

Signed-off-by: Tony Ambardar <itugrok@yahoo.com>

stubby: rearrange Makefile for clarity

Signed-off-by: Tony Ambardar <itugrok@yahoo.com>

Merge pull request #6995 from neheb/odbc

unixodbc: Update to 2.3.7

Merge pull request #7074 from neheb/patch-41

apr: Update to 1.6.5

Merge pull request #7086 from gladiac1337/feature-haproxy-v1.8.14

haproxy: Update HAProxy to v1.8.14

php7: update to 7.2.10

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

glib2: update to 2.56.3

Signed-off-by: Peter Wagner <tripolar@gmx.at>

Merge pull request #6899 from diizzyy/patch-12

libs/sqlite: Update to 3.24.0

Merge pull request #6633 from cotequeiroz/libftdi1_cmake-3.12

libftdi1: Fix compilation with cmake 3.12

Merge pull request #6538 from FireCulex/bonnie++

bonnie++ 1.97.3

nano: update to 3.1

* Update nano editor to 3.1
* Apply a post-release upstream patch to fix compilation

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>

Merge pull request #7025 from Andy2244/krb5-keyutil-fix

krb5: fix keyutils dependency

Merge pull request #6796 from MikePetullo/syslog-ng

syslog-ng: update to 3.17.2

haproxy: Update HAProxy to v1.8.14
- Update haproxy download URL and hash
- Removed all obsolete patches
- This fixes CVE-2018-14645 (See: https://nvd.nist.gov/vuln/detail/CVE-2018-14645)

Signed-off-by: Christian Lachner <gladiac@gmail.com>

syslog-ng: update to 3.17.2

Signed-off-by: W. Michael Petullo <mike@flyn.org>

Merge pull request #7079 from valdi74/update_package_aria2

aria2: handle check_certificate=false config option

Merge pull request #7008 from TDT-AG/pr/20180912-keepalived-enable-ipvs

net/keepalived: update to version 2.0.7 and enable ipvs support

Merge pull request #6990 from ptpt52/mwan3-fix

mwan3: optimize the process of copying routing tables

Merge pull request #7030 from jonathanunderwood/stubby_ca_certificates_dependency

stubby: add missing dependency on ca-certificates

Merge pull request #7046 from neheb/patch-27

python-pcapy: Update to 0.11.4

git: simplify install code

Signed-off-by: Peter Wagner <tripolar@gmx.at>

git: don't hard link to symlinks, to avoid ending up with a git executeable with 0777 access rights

Signed-off-by: Peter Wagner <tripolar@gmx.at>

boost: Bump PKG_RELEASE to force buildbot re-builds

Signed-off-by: Ted Hess <thess@kitschensync.net>

mwan3: optimize the process of copying routing tables

 - The original copy process is to delete all routing tables first,
   then add new routing table. This process is too slow and very dirty.
 - We use grep to identify the changes and apply them.
 - ignore ipv6 unreachable routes
 - update version number

Signed-off-by: Chen Minqiang <ptpt52@gmail.com>

Merge pull request #7081 from thess/boost-work

boost: Fix mips32r1 cpu builds (exclude Boost.fiber)

boost: Fix mips32r1 cpu builds (exclude Boost.fiber)

Signed-off-by: Ted Hess <thess@kitschensync.net>

Merge pull request #7068 from neheb/jool

jool: Update to 3.5.7 and switch to tarballs

Merge pull request #7076 from mlichvar/chrony-update-3.4

chrony: update to 3.4

aria2: handle check_certificate=false config option

Signed-off-by: Waldemar Konik <informatyk74@interia.pl>

Merge pull request #7069 from sartura/geth_1.8.15

geth: Update to 1.8.15

acme: Fix arithmetic syntax

Thanks to @jow- for pointing out the mistake.

Signed-off-by: Toke Høiland-Jørgensen <toke@toke.dk>

chrony: update to 3.4

Signed-off-by: Miroslav Lichvar <mlichvar0@gmail.com>

Merge branch 'acme-nginx'

Closes #6513

Signed-off-by: Toke Høiland-Jørgensen <toke@toke.dk>

acme: Fix whitespace and long lines, bump package rev

Signed-off-by: Toke Høiland-Jørgensen <toke@toke.dk>

acme: add support for nginx webserver

This adds a metapakcge for acme luci ap without uhttpd dependency and adds entities and check to stop handle nginx server and modify the certificate set automatically.

Signed-off-by: Ansuel Smith <ansuelsmth@gmail.com>

Merge pull request #6981 from neheb/png

libpng: Update to l.6.35

apr: Update to 1.6.5

Signed-off-by: Rosen Penev <rosenp@gmail.com>

Merge pull request #6869 from pprindeville/syslog-ng-disable-tests

syslog-ng: disable tests as Travis is timing out

Merge pull request #7067 from ClaymorePT/boost_1.68_r2

boost: Package Makefile Revision

boost: Package Makefile Revision

Boost.Fiber is now disabled for Targets which use mips32 or mips64 cpu type.

This commit fixes issue [1]

[1]: https://github.com/openwrt/packages/issues/6987

Signed-off-by: Carlos Miguel Ferreira <carlosmf.pt@gmail.com>

geth: Update to 1.8.15

Signed-off-by: Mislav Novakovic <mislav.novakovic@sartura.hr>

jool: Update to 3.5.7 and switch to tarballs

Should be faster.

Rearranged Makefile slightly for consistency with other packages.

Version 3.5.6 and above are relicensed to GPL-2.0.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

Merge pull request #6820 from notnyt/update_cshark

cshark: update to latest git HEAD

git: update to 2.19.0

Signed-off-by: Peter Wagner <tripolar@gmx.at>

tor: update to 0.3.4.8

Signed-off-by: Peter Wagner <tripolar@gmx.at>

glib2: Update to 2.56.2

Adjusted some configure flags. Disabled some documentation to save on
build time. It seems to have also fixed parallel building on mvebu at
least.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

Merge pull request #7054 from tru7/libfmt

libfmt: bump to version 5.2.0

libfmt: bump to version 5.2.0

Signed-off-by: Othmar Truniger <github@truniger.ch>

Merge pull request #7050 from mlichvar/chrony-fix-ipv6-allow

chrony: fix configuration of IPv6 client access

chrony: fix configuration of IPv6 client access

Fix the init script to allow access from IPv6 subnets of the interface
specified in allow section in /etc/config/chrony.

Fixes issue #7039.

Signed-off-by: Miroslav Lichvar <mlichvar0@gmail.com>

Merge pull request #7048 from neheb/patch-32

python-lxml: Update to 4.2.5

Merge pull request #7041 from neheb/patch-18

jdcal: Update to 1.4

Merge pull request #7049 from neheb/patch-35

pytz: Update to 2018.5

Merge pull request #7045 from neheb/patch-11

python-dateutil: Update to 2.7.3

Merge pull request #7051 from commodo/python3-fix-ssl-dh-free

python3: fix build with SSL module

python3: fix build with SSL module

No idea how this creeped up. Probably OpenSSL been has updated recently.
Will send this patch upstream as well, but in the meantime we should fix
the Python3 build.

Build error seems to be:
```
<openwrt>/build_dir/target-i386_pentium4_musl/Python-3.7.0/Modules/_ssl.c:4000:5: error: implicit declaration of function 'DH_free'; did you mean 'lh_free'? [-Werror=implicit-function-declaration]
     DH_free(dh);
     ^~~~~~~
     lh_free
cc1: some warnings being treated as errors

Python build finished successfully!
The necessary bits to build these optional modules were not found:
_tkinter              _uuid                 nis
To find the necessary bits, look in setup.py in detect_modules() for the module's name.

The following modules found by detect_modules() in setup.py, have been
built by the Makefile instead, as configured by the Setup files:
_abc                  atexit                pwd
time                  zlib

Failed to build these modules:
_ssl

Makefile:618: recipe for target 'sharedmods' failed
```

Signed-off-by: Alexandru Ardelean <ardeleanalex@gmail.com>

Merge pull request #6936 from neheb/patch-25

p11-kit: Update to 0.23.14

Merge pull request #6971 from neheb/secc

libseccomp: Update to 2.3.3

pytz: Update to 2018.5

Switched to standard pythonhosted URL.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

python-lxml: Update to 4.2.5

Switched URL to the standard pythonhosted one. The website directs users there.

Tarballs are identical.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

python-pcapy: Update to 0.11.4

Switched to regular tarballs from standard pythonhosted source.

Small Makefile rearrangements for consistency.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

python-dateutil: Update to 2.7.3

Switch to standard URL.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

git: drop git-http ca-certificates dependency

Signed-off-by: Peter Wagner <tripolar@gmx.at>

jdcal: Update to 1.4

Switched URL to the more standard pythonhosted one.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

Merge pull request #7027 from neheb/patch-18

fio: Update to 3.10 and disable HTTP

Merge pull request #7040 from Andy2244/samba4-fix-typo

samba4: fix typo

samba4: fix typo

* fix a typo in vfs_extd_audit

Signed-off-by: Andy Walsh <andy.walsh44+github@gmail.com>

Merge pull request #7037 from neheb/rsy

rsyslog: Disable fmhttp as it relies on libcurl

Merge pull request #7036 from EricLuehrsen/unbound-1.8.0

unbound: update to 1.8.0

rsyslog: Disable fmhttp as it relies on libcurl

Fixes the buildbot currently.

Also disabled tests for faster builds. And potential libsystemd.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

unbound: update to 1.8.0

- adjust a few UCI translations to coordinate with upstream defaults
- remove OpenSSL < 1.1.0 API log error patch which is included upstream

Signed-off-by: Eric Luehrsen <ericluehrsen@gmail.com>

Merge pull request #7026 from neheb/motion

motion: Backport upstream commit to fix running on musl.

stubby: add missing dependency on ca-certificates

Signed-off-by: Tony Ambardar <itugrok@yahoo.com>

fio: Update to 3.10 and disable HTTP

HTTP support is new and requires libcurl and an SSL library.

Rearranged Makefile for consistency with other projects.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

motion: Backport upstream commit to fix running on musl.

Reported on OpenWrt forums

https://forum.openwrt.org/t/motion-segmentation-fault-after-upgrade-to-4-14-68/21276

Signed-off-by: Rosen Penev <rosenp@gmail.com>

krb5: fix keyutils dependency

* if <keyutils.h> is found krb5 pulls in the lib, which than fails to link because of a missing -fPic in libkeyutils.so
* keyutils 1.5.11 will depend on krb5, so we disable it in krb5 to avoid circular dependency

Signed-off-by: Andy Walsh <andy.walsh44+github@gmail.com>

Merge pull request #7004 from neheb/patch-18

zsh: Update to 5.6.2

libpng: Update to 1.6.35

Fixes CVE-2018-13785 and CVE-2018-14048.

Added PKG_CPE_ID for proper CVE tracking.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

zsh: Update to 5.6.2

Fixes at least CVE-2018-0502 and CVE-2018-13259

Added PKG_CPE_ID for proper CVE tracking.

Added PKG_BUILD_PARALLEL for faster compilation.

Some small reorganization for consistency between packages.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

Merge pull request #6800 from neheb/patch-28

rsyslog: Update to 8.37.0

Merge pull request #6799 from neheb/patch-27

libfastjson: Update to 0.99.8 + switch to tarball

Merge pull request #7018 from Andy2244/samba-4-9-0

samba4: update to 4.9.0

Merge pull request #7014 from dedeckeh/pr_strongswan-hotplug

strongswan: fix OpenWrt hotplug script handling

samba4: update to 4.9.0

* update to 4.9.0
* move vfs_xattr_tdb to defaults
* add vfs_audit, vfs_extd_audit, vfs_full_audit to AD-DC variant
* disable jansson, libarchive by default, enabled for AD-DC variant
* update waf answers

Noteable smb.conf changes:
* store dos attributes Default changed yes
* ea support Default changed yes

Fixes: Timemachine "The identity of the Backup disk ... has changed since the previous backup."
Signed-off-by: Andy Walsh <andy.walsh44+github@gmail.com>

net/keepalived: enable lvs support

Enable IPVS support.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

strongswan: refresh patches

Signed-off-by: Hans Dedecker <dedeckeh@gmail.com>

strongswan: fix OpenWrt hotplug script handling

Commit 6cd8fcabe added ipsec hotplug script support by calling "exec
/sbin/hotplug-call ipsec".
Using the exec call breaks the insertion of iptables rules by the _updown.in
script as hotplug-call just replaces the current shell meaning the commands
following exec do not run since the shell is replaced and as a result lead to
connectivity issues.
Fix this by removing the exec command in front of /sbin/hotplug-call.

Signed-off-by: Hans Dedecker <dedeckeh@gmail.com>

Merge pull request #7010 from commodo/remove-stray-tarball

treewide: remove stray tarball (added by accident)

treewide: remove stray tarball (added by accident)

Remove `pyasn1-modules-0.2.2.tar.gz` which was added by accident during
commit 50f1041874b9c8067d64dbfa1c3551f5e5465df5 ("python-pyasn1-modules:
bump to version 0.2.2").

Signed-off-by: Alexandru Ardelean <ardeleanalex@gmail.com>

net/keepalived: update to version 2.0.7

Update keepalived to version 2.0.7.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

Merge pull request #7003 from dibdot/mc-vfs

mc: add VFS support by default

mc: enable VFS support by default

* provide VFS support in midnight commander by default (see #6999),
  this enlarge the package size by ~40KB.

Signed-off-by: Dirk Brenken <dev@brenken.org>

libwebsockets: bump to 3.0.1

As usual, LWS upstream completely failed to maintain their changelog.
Skimming the git log by hand, probably the biggest change of note here
is fixed compatibility with openssl 1.1.0

Tested on ath79.
Signed-off-by: Karl Palsson <karlp@etactica.com>

Merge pull request #7002 from tsl0922/ttyd-1.4.2

ttyd: update to 1.4.2

ttyd: update to 1.4.2

Signed-off-by: Shuanglei Tao <tsl0922@gmail.com>

nfs-kernel-server: fix missing libbsd dependency

libbsd may compile before nfs-kernel-server, it  will make
nfs-kernel-server depends libbsd.so.0, that is not we want to see. so
gave option to 'configure' to disable libbsd detect and tell it we have
no libbsd

Signed-off-by: Guo Li <uxgood.org@gmail.com>

Merge pull request #6988 from commodo/python-batch-upgrades

python packages: upgrade to newer versions