django: bump to version 4.1.1

Signed-off-by: Alexandru Ardelean <ardeleanalex@gmail.com>

Merge pull request #19534 from mhei/php8-pecl-http-update-4.2.3

php8-pecl-http: update to 4.2.3

Merge pull request #19532 from pprindeville/isc-dhcp-drop-gratuitous-named-reload

isc-dhcp: avoid gratuitous reload of named

node: bump to v16.17.1

The following CVEs are fixed in this release:
* CVE-2022-32212: DNS rebinding in --inspect on macOS (High)
    * Insufficient fix for macOS devices on v18.5.0
* CVE-2022-32222: Node 18 reads openssl.cnf from /home/iojs/build/ upon startup on MacOS (Medium)
* CVE-2022-32213: HTTP Request Smuggling - Flawed Parsing of Transfer-Encoding (Medium)
    * Insufficient fix on v18.5.0
* CVE-2022-32215: HTTP Request Smuggling - Incorrect Parsing of Multi-line Transfer-Encoding (Medium)
    * Insufficient fix on v18.5.0
* CVE-2022-35256: HTTP Request Smuggling - Incorrect Parsing of Header Fields (Medium)
* CVE-2022-35255: Weak randomness in WebCrypto keygen
More detailed information on each of the vulnerabilities can be found in September 22nd 2022 Security Releases blog post.

llhttp updated to 6.0.10
llhttp is updated to 6.0.10 which includes fixes for the following vulnerabilities.
* HTTP Request Smuggling - CVE-2022-32213 bypass via obs-fold mechanic (Medium)(CVE-2022-32213 ): The llhttp parser in the http module does not correctly parse and validate Transfer-Encoding headers. This can lead to HTTP Request Smuggling (HRS).
* HTTP Request Smuggling - Incorrect Parsing of Multi-line Transfer-Encoding (Medium)(CVE-2022-32215): The llhttp parser in the http module does not correctly handle multi-line Transfer-Encoding headers. This can lead to HTTP Request Smuggling (HRS).
* HTTP Request Smuggling - Incorrect Parsing of Header Fields (Medium)(CVE-35256): The llhttp parser in the http does not correctly handle header fields that are not terminated with CLRF. This can lead to HTTP Request Smuggling (HRS).

Signed-off-by: Hirokazu MORIKAWA <morikw2@gmail.com>

lighttpd: remove deprecated modules

Signed-off-by: Glenn Strauss <gstrauss@gluelogic.com>

php8-pecl-http: update to 4.2.3

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

isc-dhcp: avoid gratuitous reload of named

Signed-off-by: Philip Prindeville <philipp@redfish-solutions.com>

Merge pull request #19520 from dyarkovoy/master

mwan3: support offload routing modifier

mwan3: support offload routing modifier

Signed-off-by: Denys Yarkovyi <dyarkovoy@gmail.com>

Merge pull request #19527 from stangri/master-https-dns-proxy

https-dns-proxy: add settings for canary domains

https-dns-proxy: add settings for canary domains

* add setting to enable/disable blocking access to iCloud Private Relay resolvers
* add setting to enable/disable blocking access to Mozilla resolvers
* rename variables loaded from config in the init script

Signed-off-by: Stan Grishin <stangri@melmac.ca>

Merge pull request #19525 from stangri/master-https-dns-proxy

https-dns-proxy: bugfix: prevent canary domains duplicates

https-dns-proxy: bugfix: prevent canary domains duplicates

Signed-off-by: Stan Grishin <stangri@melmac.ca>

treewide: fix security issues by bumping all packages using libwolfssl

As wolfSSL is having hard time maintaining ABI compatibility between
releases, we need to manually force rebuild of packages depending on
libwolfssl and thus force their upgrade. Otherwise due to the ABI
handling we would endup with possibly two libwolfssl libraries in the
system, including the patched libwolfssl-5.5.1, but still have
vulnerable services running using the vulnerable libwolfssl-5.4.0.

So in order to propagate update of libwolfssl to latest stable release
done in commit ec8fb542ec3e4 ("wolfssl: fix TLSv1.3 RCE in uhttpd by
using 5.5.1-stable (CVE-2022-39173)") which fixes several remotely
exploitable vulnerabilities, we need to bump PKG_RELEASE of all packages
using wolfSSL library.

Same bump has been done in buildroot in commit f1b7e1434f66 ("treewide:
fix security issues by bumping all packages using libwolfssl").

Signed-off-by: Petr Štetiar <ynezz@true.cz>

Merge pull request #19512 from mhei/php8-update-8.1.11

php8: update to 8.1.11

Merge pull request #19501 from stangri/master-simple-adblock

simple-adblock: allow domains bugfix & canary domains support

expat: update to 2.4.9

Fixes CVE-2022-40674.

Release Notes:
- https://github.com/libexpat/libexpat/blob/R_2_4_8/expat/Changes
- https://github.com/libexpat/libexpat/blob/R_2_4_9/expat/Changes

Signed-off-by: Nick Hainke <vincent@systemli.org>

samba4: update waf-cross-answers
* update waf-cross-answers for 4.14.x

Signed-off-by: Andrew Sim <andrewsimz@gmail.com>

samba4: update to 4.14.14
* update to 4.14.14
* fixes: CVE-2022-2031, CVE-2022-32744, CVE-2022-32745, CVE-2022-32746, CVE-2022-32742

Signed-off-by: Andrew Sim <andrewsimz@gmail.com>

python-stem: update to v1.8.1

Signed-off-by: Javier Marcet <javier@marcet.info>

php8: update to 8.1.11

This fixes:
    - CVE-2022-31628
    - CVE-2022-31629

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

Merge pull request #19478 from mhei/libmodbus-update-3.1.8

libmodbus: update to 3.1.8

Merge pull request #19497 from mhei/php8-ext-sodium

php8: php8-pecl-sodium with php8-mod-sodium (refs #18997)

zoneinfo: updated to the latest release

Signed-off-by: Vladimir Ulrich <admin@evl.su>

gg: Update to 0.2.13

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

dnsproxy: Update to 0.45.2

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

cloudflared: Update to 2022.9.1

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

simple-adblock: allow domains bugfix & canary domains support

* fix bug in download_lists and adb_allow to prevent unintended exclisions from
  the block-lists of domains containing allowed domain. Fixes issue:
  https://github.com/stangri/source.openwrt.melmac.net/issues/160
* add support for returning NXDOMAIN/blocking iCloud & Mozilla canary domains,
  disabled by default

Signed-off-by: Stan Grishin <stangri@melmac.ca>

Merge pull request #19489 from stangri/master-https-dns-proxy

https-dns-proxy: uci wrappers & iCloud canary domains

php8-pecl-sodium: drop package, replaced by php8-mod-sodium (refs #18997)

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

php8: add sodium extensions (refs #18997)

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

https-dns-proxy: uci wrappers & iCloud canary domains

* switch to using uci wrappers instead of direct uci calls
* add support for iCloud canary domains
  https://developer.apple.com/support/prepare-your-network-for-icloud-private-relay

Signed-off-by: Stan Grishin <stangri@melmac.ca>

bandwidthd: fix format warnings

Should fix crashing errors under musl 1.2

Signed-off-by: Rosen Penev <rosenp@gmail.com>

docker-compose: Update to version 2.11.2

Signed-off-by: Javier Marcet <javier@marcet.info>

Merge pull request #19447 from turris-cz/unbound

unbound: update to version 1.16.3

libmodbus: update to 3.1.8

- drop obsolete configure argument
- update download url

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

python3: use tools/expat for host build

Oversight from when the expat host build was removed.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

Merge pull request #19470 from rmilecki/ddns-scripts-code-cleanup

ddns-scripts: clean up code a bit to make it easier to understand

ddns-scripts: add explicit "-d" switch for Dry Run

It was a bit confusing to use *verbosity* level for Dry Run mode. Add
explicity switch for it and designed DRY_RUN variable to make code
easier to understand.

Signed-off-by: Rafał Miłecki <rafal@milecki.pl>

ddns-scripts: rename variable: s/ERR_UPDATE/RETRY_COUNT/

Rename variable to make code easier to understand. This variable
specifies how many times in row ddns script tried to update IP without a
success.

Previous name ("ERR_UPDATE") didn't suggest it was for counting
anything. It also didn't specify was error was it related to.

Signed-off-by: Rafał Miłecki <rafal@milecki.pl>

ddns-scripts: replace IP type (name) "local" with "current"

Local suggests something related to the local network or available
locally only. All that code related to the "local" IP was actually
dealing with *current* device external IP address. Using name "current"
should make code a bit easier to understand.

Signed-off-by: Rafał Miłecki <rafal@milecki.pl>

ddns-scripts: rename variable: s/retry_count/retry_max_count/

Rename variable to make code easier to understand. This variable
specifies how many times ddns script should try to send a request.

Previous name ("retry_count") suggested it was for *counting* attempts.

Signed-off-by: Rafał Miłecki <rafal@milecki.pl>

Merge pull request #19448 from stangri/master-simple-adblock

simple-adblock: update to 1.9.1-1

Merge pull request #19465 from TELUS-BBA/zabbix6.2

zabbix: update to 6.2.3

Merge pull request #19460 from stangri/master-curl

curl: bugfix: github source url

zabbix: update to 6.2.3

Refreshed patches.

Signed-off-by: Scott Roberts <ttocsr@gmail.com>

lua-eco: adapt SSL choice to libwolfsslcpu-crypto

libwolfsslcpu-crypto has to be taken into consideration when selecting
the default SSL backend.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Merge pull request #19446 from jamesmacwhite/mwan3-config-replace-google-dns

mwan3: Switch default track_ip targets from Google DNS to Cloudflare DNS

libs/libwebsockets: Update to 4.3.x

Changes since 4.2 are extensive, as always.
https://libwebsockets.org/git/libwebsockets/tree/changelog?h=v4.3-stable#n4

Eg, Adds CBOR, support for reduced memory CA verification, cookie jars,
mqtt client gains qos2, mbedtls v3, fault injection apis, better support
for event loops.

Signed-off-by: Karl Palsson <karlp@etactica.com>

lang: lua-penlight: update to 1.13.1

These are bugfix and feature releases.

Changes from 1.11->1.12:
https://github.com/lunarmodules/Penlight/blob/master/CHANGELOG.md#1120-2022-jan-10
Changes from 1.12->1.13:
https://github.com/lunarmodules/Penlight/blob/master/CHANGELOG.md#1130-2022-jul-22

Signed-off-by: Karl Palsson <karlp@etactica.com>

libs/cjson: bump to 1.7.15

This is a bugfix release.
Full release notes available at: https://github.com/DaveGamble/cJSON/releases/tag/v1.7.15

Signed-off-by: Karl Palsson <karlp@etactica.com>

pagekite: add patchs for 64bit time

Source: https://github.com/pagekite/libpagekite/pull/78

Signed-off-by: Karl Palsson <karlp@etactica.com>

mosquitto: bump to 2.0.15

Changelog: https://mosquitto.org/blog/2022/08/version-2-0-15-released/
Changelog: https://mosquitto.org/blog/2021/11/version-2-0-14-released/

2.0.15 is bigger security and bugfix release.  2.0.14 had a couple of
  minor changes and was skipped for OpenWrt.

Signed-off-by: Karl Palsson <karlp@etactica.com>

mosquitto: add missing 'persistence' section in config

Section 'Persistence' in 'luci-app-mosquitto' is unusable without 'persistence'
section in config file.

Signed-off-by: Ptilopsis Leucotis <PtilopsisLeucotis@yandex.com>

tor: update to 0.4.7.9

Release Notes:
https://forum.torproject.net/t/urgent-stable-release-0-4-5-14-0-4-6-12-and-0-4-7-10

Signed-off-by: Nick Hainke <vincent@systemli.org>

curl: bugfix: github source url

* fixes https://github.com/openwrt/packages/issues/19456

Signed-off-by: Stan Grishin <stangri@melmac.ca>

docker-compose: Update to version 2.11.1

Signed-off-by: Javier Marcet <javier@marcet.info>

haproxy: Update HAProxy to v2.6.6

- Update haproxy download URL and hash

Signed-off-by: Christian Lachner <gladiac@gmail.com>

Merge pull request #19455 from mhei/mmc-utils-update

mmc-utils: update to latest upstream revision

mmc-utils: update to latest upstream revision

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

adblock: update 4.1.4-5

* auto-whitelist ext. dns lookup domain
* add public doh server blocklist source
* whitespace fixes in adblock.sources

Signed-off-by: Dirk Brenken <dev@brenken.org>

ffmpeg: update to 5.1.2

Bump to latest upstream version

Signed-off-by: John Audia <therealgraysky@proton.me>

openblas: bump to version 0.3.21

Signed-off-by: Alexandru Ardelean <ardeleanalex@gmail.com>

simple-adblock: update to 1.9.1-1

* remove obsolete block-lists from config
* add removal of obsolete lists to config-update
* add AdGuard team's block-list to config
* improve allow command
* improve nftset support
* move config load to uci_load_validate, which required some code refactoring which
  looks dramatic, but isn't
* always use dnsmasq_restart instead of dnsmasq_hup for all dns resolution options
  for dnsmasq

Signed-off-by: Stan Grishin <stangri@melmac.ca>

unbound: update to version 1.16.3

Changelog: https://www.nlnetlabs.nl/projects/unbound/download/#unbound-1-16-3
- Fixes: CVE-2022-3204

Refreshed one patch

Signed-off-by: Josef Schlehofer <pepe.schlehofer@gmail.com>

tang: update directory

There's no more cache.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

Revert "jose: remove libjose"

This reverts commit 02d6c8346cfae7c2de456800a862a7dd90782858.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

Revert "jose: fix static library usage"

This reverts commit c61b70918b6c10f6fd726b098474736a7e0ae9cd.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

Merge pull request #19439 from mhei/php8-more-extensions-19424

php8-pecl-xdebug: add package (refs #19424)

mwan3: Switch default track_ip targets from Google DNS to Cloudflare DNS

Signed-off-by: James White <james@jmwhite.co.uk>

Merge pull request #19419 from james-mcguire/master

adblock: add lightswitch05 source

snowflake: run snowflake-proxy with procd-ujail

snowflake-proxy doesn't write any files
 => run in read-only rootfs environment

the process needs to read SSL certs but no other files
 => only exposed path is /etc/ssl/certificates (read-only)

running as unpriviledged user with no additional capabilities
 => set no-new-privs bit

By default procd-ujail also isolates the process by executing it in
a separate new IPC and PID namespace.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

adblock: add lightswitch05 blocklist source

Signed-off-by: James McGuire <jamesm51@gmail.com>

snowflake: add package

Package Tor's Snowflake system components so users can offer e.g.
a standalone Snowflake proxy on their routers or other devices.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

poemgr: update to latest HEAD

8988247 Makefile: Enable warnings as errors (-Werror)
aea39ca Makefile: Respect the CFLAGS and LDFLAGS that have been passed in
189594f poemgr: Fix compiler warnings in poemgr.c
0e1a8cf pd69104: Avoid self-induced pointer casts
2d53298 uswflex: Remove unused variables and declarations
d345441 poemgr: Reorganize poemgr.h to remove forward declarations
df1a7bc contrib: remove unneccessary functions.sh loading
056a6a9 poemgr: Fix name based profile selection
b8f8f23 poemgr: prolong the power budget detection delay
9e8344a poemgr: configure power_budget to override detected limit

Signed-off-by: David Bauer <mail@david-bauer.net>

php8-pecl-xdebug: add package (refs 19424)

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

gatling: add package gatling

Gatling is a high-performance webserver from fefe. It gives a
fairly decent feature-set at really small size. And its fast.

Co-authored-by: Josef Schlehofer <pepe.schlehofer@gmail.com>
Signed-off-by: Martin Hübner <martin.hubner@web.de>

dnsproxy: Update to 0.45.0

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

dnslookup: Update to 1.8.0

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

glib2: backport locale fix

Fixes compilation with non English locale.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

libowfat: fix glibc compilation

Ported Fedora patch.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

libsoup3: update maintainer

Signed-off-by: Rosen Penev <rosenp@gmail.com>

Merge pull request #19422 from paper42/knot-resolver-5.5.3

knot-resolver: update to 5.5.3

pdns-recursor: update to 4.7.3

Signed-off-by: Peter van Dijk <peter.van.dijk@powerdns.com>

knot-resolver: update to 5.5.3

* fixes CVE-2022-40188

Signed-off-by: Michal Vasilek <michal.vasilek@nic.cz>

libsoup3: add

Signed-off-by: Rosen Penev <rosenp@gmail.com>

openwisp-config: cleanup Makefile

The license identifier has a typo. Fix it.
Use SPDX instead of license boilerplate.

Signed-off-by: Nick Hainke <vincent@systemli.org>

openwisp-monitoring: cleanup Makefile

The license identifier has a typo. Fix it.
Use SPDX instead of license boilerplate.

Signed-off-by: Nick Hainke <vincent@systemli.org>

netsniff-ng: Build and package mausezahn

mausezahn is a multicast traffic generator which is part of the
netsniff-ng sources. This utility is needed for the upcoming
kernel-selftests-net-forwarding package. Add a new package for it.

netsniff-ng will automatically detect all installed dependencies and
build only the utilities whose dependencies are installed (meaning:
mausezahn is not build when for example libcli is not installed and
other tools are not build if for example zlib is missing). Depending
on the selected packages (netsniff-ng or mausezahn) the OpenWrt build
system has to trigger netsniff-ng's configure script, which will then
pick up and automatically build the programs (mausezahn, netsniff-ng,
trafgen, ...) for which all dependencies are installed.

Signed-off-by: Martin Blumenstingl <martin.blumenstingl@googlemail.com>

libcli: Add new package

This package is a dependency for building mausezahn as part of the
netsniff-ng sources. mausezahn is a multicast traffic generator used by
the upcoming kernel-selftests-net-forwarding package.

Signed-off-by: Martin Blumenstingl <martin.blumenstingl@googlemail.com>

open-vm-tools: enable debugging for vcenter

Updating tools.conf to get more info during deployment and template
cloning.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

open-vm-tools: enable dnet support

Enable dnet support to get guestinfo and nicinfo

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

open-vm-tools: enable deploypkg plugin

Enable support functions for guest package deployment.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

libmspack: initial checkin

libmspack is a library for some loosely related Microsoft compression
formats: CAB, CHM, HLP, LIT, KWAJ and SZDD

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

hping3: add new package

The new package would help measuring one-way delays using ICMP type 13
packets. This is important for various scripts that automatically adjust
CAKE shaper bandwidth based on the observed bufferbloat. They need to
understand whether the delay is on the way up or on the way down, so
that they can adjust the bandwidth of the proper part of the shaper.

https://forum.openwrt.org/t/cake-w-adaptive-bandwidth-historic/108848
https://forum.openwrt.org/t/cake-w-adaptive-bandwidth/135379

V2: refreshed patches

Signed-off-by: Alexander E. Patrakov <patrakov@gmail.com>

vim: update to 9.0

Remove upstreamed patches:
- 001-support-defining-compilation-date-in-SOURCE_DATE_EPOCH.patch
  -> https://github.com/vim/vim/commit/8f1dde5021d9623a951d1ccbc78cf1b1a55ccd7a
- 020-macos.patch
  -> https://github.com/vim/vim/commit/5289783e0b07cfc3f92ee933261ca4c4acdca007

Refresh patches:
- 002-remove_helptags_generation.patch

Release Notes:
https://www.vim.org/vim90.php

Add to configure_args:
 --disable-libsodium

Signed-off-by: Nick Hainke <vincent@systemli.org>

xz: update to 5.2.6

Release Notes:
https://git.tukaani.org/?p=xz.git;a=blob;f=NEWS;hb=HEAD

Signed-off-by: Nick Hainke <vincent@systemli.org>

realtek-poe: Update package to v1.0

v1.0 fixes a bug with MCU communication, and allows shutting down
individual ports over ubus. A summarry of commands can be shown with:

ubus -v list poe

Signed-off-by: Alexandru Gagniuc <mr.nuke.me@gmail.com>

bind: bump to 9.18.7

Fixes multiple security issues:

CVE-2022-38178 - Fix memory leak in EdDSA verify processing

CVE-2022-3080 - Fix serve-stale crash that could happen when
stale-answer-client-timeout was set to 0 and there was
a stale CNAME in the cache for an incoming query

CVE-2022-2906 - Fix memory leaks in the DH code when using OpenSSL 3.0.0
and later versions. The openssldh_compare(),
openssldh_paramcompare(), and openssldh_todns()
functions were affected

CVE-2022-2881 - When an HTTP connection was reused to get
statistics from the stats channel, and zlib
compression was in use, each successive
response sent larger and larger blocks of memory,
potentially reading past the end of the allocated
buffer

CVE-2022-2795 - Prevent excessive resource use while processing large
delegations

Signed-off-by: Noah Meyerhans <frodo@morgul.net>

opendoas: avoid libpam dependency

Package is failing to build because it picks up libpam dependency
regardless of `BUSYBOX_CONFIG_PAM`.

Use configure args --with-pam, --without-pam to assert the option.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>