snort3: update to 3.6.3.0

Changelog: https://github.com/snort3/snort3/releases/tag/3.6.3.0

Signed-off-by: John Audia <therealgraysky@proton.me>

antiblock: Update to 2.0.1

Updated hashmap version.
In the code, almost all the url words have been replaced with domain.
Fixed a bug in the service of getting gateway from VPN name.

Signed-off-by: Khachatryan Karen <karen0734@gmail.com>

golang: Update to 1.23.6

go1.23.5 (released 2025-01-16) includes security fixes to the
crypto/x509 and net/http packages, as well as bug fixes to the
compiler, the runtime, and the net package.

go1.23.6 (released 2025-02-04) includes security fixes to the
crypto/elliptic package, as well as bug fixes to the compiler
and the go command.

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

prometheus-node-exporter-ucode: fix missing .so mounts in jail

Signed-off-by: Anirudh Srinivasan <anirudhsriniv@gmail.com>

pdns: update to 4.9.4

Signed-off-by: Peter van Dijk <peter.van.dijk@powerdns.com>

netbird: update to 0.36.5

changelog: https://github.com/netbirdio/netbird/releases/tag/v0.36.5

Signed-off-by: Wesley Gimenes <wehagy@proton.me>

ddns-scripts: add ydns.io provider

keepalived: add support for directory sync

This commit adds support for folder synchronization.
An example is in the 810-files file where it is explained how to
synchronize all hotplug files of keepalived.

Signed-off-by: Francesco Benini <francy.benini@gmail.com>

sing-box: Update to 1.11.1

Signed-off-by: Milinda Brantini <C_A_T_T_E_R_Y@outlook.com>

lua-cjson: add build VARIANT for Lua5.3

Signed-off-by: Jianhui Zhao <zhaojh329@gmail.com>

ddns-scripts: add type field for digitalocean API

DigitalOcean API requires a "type" JSON field to update a DNS
record. This adds that while checking for IPv6 to change which
record type to use. Without it, the API call fails, making
the script unable to update the DNS records for DigitalOcean.

Signed-off-by: Adam Beck <subcursion@gmail.com>

keepalived: add ubus status

The hotplug scripts are called with every state change. When called, the
scripts are processed under '/etc/hotplug.d/keepalived'. This change adds
the functionality that the last state change of the keepalived can be
queried via the ubus.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

rclone: Update to 1.69.0

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

strongswan: fix compilation against wolfssl

Backports upstream patch fix compilation error against recent versions of wolfssl.

Closes https://github.com/openwrt/packages/issues/25877

Signed-off-by: Matt Eaton <git@divinehawk.com>

sing-box: Update to 1.11.0

Signed-off-by: Milinda Brantini <C_A_T_T_E_R_Y@outlook.com>

alist: Update to 3.42.0

Fix the value of conf.WebVersion.

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

cloudflared: Update to 2025.1.1

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

v2ray-geodata: Update to latest version

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

v2ray-core: Update to 5.26.0

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

xray-core: Update to 25.1.30

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

banIP: update 1.5.0-6

* fixed  the incomplete rule maintainance during banIP reloads
* fixed the Set query function (if the Set counters are disabled)

Signed-off-by: Dirk Brenken <dev@brenken.org>

netatalk: add uci support

Signed-off-by: Antonio Pastor <antonio.pastor@gmail.com>

netatalk: create small and full variants

Small version includes only AFP file sharing to minimize size.
Base version adds AppleTalk. This matches the contents of the
existing package.
Full version includes everything that OpenWrt can support and
configuration option for build system (menuconfig).

Signed-off-by: Antonio Pastor <antonio.pastor@gmail.com>

netatalk: update to 4.1.1

Signed-off-by: Antonio Pastor <antonio.pastor@gmail.com>

tailscale: update to 1.80.0

Signed-off-by: Sandro Jäckel <sandro.jaeckel@gmail.com>

cryptsetup: update to version 2.7.5

Enable building cryptsetup-reencrypt, integritysetup and veritysetup,
add new binary packages for integritysetup and veritysetup.

Changes since version 2.7.4
~~~~~~~~~~~~~~~~~~~~~~~~~~~
* Fix possible online reencryption data corruption (only in 2.7.x).

  In some situations (initializing a suspended device-mapper device),
  cryptsetup disabled direct-io device access. This caused unsafe
  online reencryption operations that could lead to data corruption.
  The code now adds strict checks (and aborts the operation) and
  changes direct-io detection code to prevent data corruption.

* Fix a clang compilation error in SSH token plugin.

  As clang linker treats missing symbols as errors, the linker phase
  for the SSH token failed as the optional cryptsetup_token_buffer_free
  was not defined.

* Fix crypto backend initialization in crypt_format_luks2_opal API call.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

frr: 10.2.1 fixes

add packing mgmtd, pim6d and update helper scripts

Signed-off-by: Lucian CRISTIAN <lucian.cristian@gmail.com>

bind: bump to 9.20.5

Fixes CVEs:
- CVE-2024-12705: DNS-over-HTTPS flooding
- CVE-2024-11187: Limit additional section processing for large RDATA sets

Signed-off-by: Noah Meyerhans <frodo@morgul.net>

knot: update to version 3.4.4

Signed-off-by: Jan Hák <jan.hak@nic.cz>

snort3: update to 3.6.2.0

Changelog: https://github.com/snort3/snort3/releases/tag/3.6.2.0

% snort --version

   ,,_     -*> Snort++ <*-
  o"  )~   Version 3.6.2.0
   ''''    By Martin Roesch & The Snort Team
           http://snort.org/contact#team
           Copyright (C) 2014-2024 Cisco and/or its affiliates. All rights reserved.
           Copyright (C) 1998-2013 Sourcefire, Inc., et al.
           Using DAQ version 3.0.18
           Using Hyperscan version 5.4.2 2025-01-28
           Using libpcap version 1.10.5 (with TPACKET_V3)
           Using LuaJIT version 2.1.0-beta3
           Using LZMA version 5.6.2
           Using OpenSSL 3.0.15 3 Sep 2024
           Using PCRE2 version 10.42 2022-12-11
           Using ZLIB version 1.3.1

Signed-off-by: John Audia <therealgraysky@proton.me>

libdaq3: update to 3.0.18

Update to latest version.

Changelog: https://github.com/snort3/libdaq/releases/tag/v3.0.18

Signed-off-by: John Audia <therealgraysky@proton.me>

owut: update to 2025.01.29

Bug fixes:
    efahl/owut@bced54a owut: prefer use of packages_changes when generating build request
    efahl/owut@b469547 owut: revert rootfs restrictions

Signed-off-by: Eric Fahlgren <ericfahlgren@gmail.com>

https-dns-proxy: bugfixes and improvements

* improvement: Makefile: prepend `r` to PKG_RELEASE in binary and init script versions to match package version
* bugfix: init script: more reliable/robust start on boot
* improvement: init script: more compact output()
* improvement: init script: better DNS Hijack login
* improvement: init script: fold some dnsmasq-related functions into dhcp_backup()

Signed-off-by: Stan Grishin <stangri@melmac.ca>

adblock-fast: bugfixes: boot-up, StevenBlack list, new CERT.pl source

* bugfix: more robust boot-up start
* bugfix: processing of StevenBlack lists
* new remote block-list: CERT.pl

Signed-off-by: Stan Grishin <stangri@melmac.ca>

adblock: update 4.2.4-1

* support smartdns as dns backend
* support top level domains in local white- and blackklist,
  e.g. a 'de' in the blacklist blocks all domains with a german tld
  and the tld compression removes all subdomains from the final blocklist

Signed-off-by: Dirk Brenken <dev@brenken.org>

pbr: bugfixes: boot-up and negative dest_addr

* bugfix: more robust boot-up behaviour, obsoleting following config
  options: procd_boot_delay, procd_boot_timeout, procd_wan_ignore_status
* bugfix: fix typo in processing negations on dest_addr

Signed-off-by: Stan Grishin <stangri@melmac.ca>

banip: update 1.5.0-5

* fix a reporting issue with multiple ports/protocols

Signed-off-by: Dirk Brenken <dev@brenken.org>

fastd: update to v23

Signed-off-by: Matthias Schiffer <mschiffer@universe-factory.net>

owut: update to 2025.01.25

Bug fixes:
    efahl/owut@2bf45d5 owut: exit immediately on ctrl-c
    efahl/owut@a95d383 owut: fix processing of device defaults
    efahl/owut@cd63564 owut: disallow --rootfs-size changes on some platforms
Enhancements:
    efahl/owut@eaca182 owut: minor code cleanup in sha256 calculator
    efahl/owut@2b65aa7 owut: improve messaging
    efahl/owut@d687824 git: define file attributes

Signed-off-by: Eric Fahlgren <ericfahlgren@gmail.com>

openssh: fix recursive key file removal

The -r option is not required here but should also not hurt,
since it was already tested, that $key is a file.
However, to express the intent of the command more clearly,
let's drop it.

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

v2ray-core: Update to 5.25.1

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

banip: Block UDP ports for HTTP/3

Block HTTP/3 by including UDP in the feeds that have the 80 443 ports in
their flag.

Signed-off-by: Juan Orti Alcaine <jorti@pm.me>

net-mtools: bump to release 3.2

Fix regression with detecting multicast ipv6 packet.

Signed-off-by: Christian Marangi <ansuelsmth@gmail.com>

yggdrasil: update to 0.5.12

Signed-off-by: Ivan Chashkin <mail@cupivan.ru>

openssh: Validate keys and regenerate if needed.

Imitate dropbear init.d-script and make sure we
don't end up with corrupt keys.

This can happen if we use a caching filesystem,
like 'ubifs', and the DUT is powered off during
boot-up.

Signed-off-by: Markus Gothe <markus.gothe@genexis.eu>

openssh: fix killing of active sessions on shutdown

Starting with OpenSSH 9.8 sessions are handled by a separate binary
called sshd-session

Signed-off-by: Erik Karlsson <erik.karlsson@iopsys.eu>

php8-pecl-dio: update to 0.3.0

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

php8-pecl-http: update to 4.2.6

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

php8-pecl-xdebug: update to 3.4.1

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

php8-pecl-redis: update to 6.1.0

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

php8-pecl-krb5: update to 1.2.2

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

coova-chilli: Fix WolfSSL support

Signed-off-by: Federico Capoano <f.capoano@openwisp.io>

nut: add --without-nut_monitor to configure args
nut_monitor is not used anyway and is needlessly built & does not work with python 3.13

Signed-off-by: Jan Klos <jan@klos.xyz>

ddns-scripts: get l3 device for bind network using curl

If pppoe is used for wan access. script set 'eth1' as interface for curl
call. The correct interface is however 'pppoe-wan'.

These scripts use 'network_get_physdev' function to get real device for
bind_network but this is wrong. We need instead the l3_device of the the
logical interface.

In case if we don't use pppoe connection - 'l3_device' is equal to real device.

Follow P/R:
 #14431

Signed-off-by: Coia Prant <coiaprant@gmail.com>

libfmt: bump to version 11.1.2

Signed-off-by: Othmar Truniger <github@truniger.ch>

frr: update to 10.2.1

update to current stable branch

Signed-off-by: Lucian CRISTIAN <lucian.cristian@gmail.com>

libyang: update to 2.1.128

this is a dependency for updated frr

Signed-off-by: Lucian CRISTIAN <lucian.cristian@gmail.com>

node: January 21, 2025 Security Releases

This is a security release.

Notable Changes

    CVE-2025-23083 - src,loader,permission: throw on InternalWorker use when permission model is enabled (High)
    CVE-2025-23085 - src: fix HTTP2 mem leak on premature close and ERR_PROTO (Medium)
    CVE-2025-23084 - path: fix path traversal in normalize() on Windows (Medium)

Dependency update:

    CVE-2025-22150 - Use of Insufficiently Random Values in undici fetch() (Medium)

Signed-off-by: Hirokazu MORIKAWA <morikw2@gmail.com>

hev-socks5-server: update to 2.7.0

Signed-off-by: Ray Wang <r@hev.cc>

hev-socks5-tproxy: update to 2.6.0

Signed-off-by: Ray Wang <r@hev.cc>

uspot: update to Git HEAD (2025-01-20)

57b737a49497 uspot/uspotfilter: s/discon_since/lost_since/
1c2f58000519 uspot/uspotfilter: use native MAC case
70934203a0b7 captive: cleanup
7566c2716eb9 uspot: correctly handle "debug=0"
f5cc70459233 portal: remove unused bits
54cdcf463c36 uspot: remove unused ssid parameter
f13440bd80ff Update issue templates
644fd6f52a8e uspotfilter: apply disconnect delay to active clients only

Signed-off-by: Thibaut VARÈNE <hacks@slashdirt.org>

banIP: update 1.5.0-3

* better logging of nft load errors
* update the readme

Signed-off-by: Dirk Brenken <dev@brenken.org>

ddns-scripts: Fixup dnspod.cn-v3

Migrate retry_count to retry_max_count in the script to fix infinite retry loop.

Signed-off-by: FriesI23 Qin <FriesI23@outlook.com>

ddns-scripts: Fixup dnspod.cn-v3

Fix signature expiration issue during retries.

Signed-off-by: FriesI23 Qin <FriesI23@outlook.com>

git: Set PKG_FORTIFY_SOURCE to 0 when lto enabled

If PKG_FORTIFY_SOURCE is not 0 and lto is enabled for package git, it
will fail to compile with the following example error:

/openwrt/staging_dir/toolchain-aarch64_generic_gcc-14.1.0_musl/include/stdio.h: In function 'process_curl_messages': /openwrt/staging_dir/toolchain-aarch64_generic_gcc-14.1.0_musl/include/stdio.h:90:8: error: inlining failed in call to 'always_inline' 'fwrite': function body can be overwritten at link time
   90 | size_t fwrite(const void *__restrict, size_t, size_t, FILE *__restrict);
      |        ^
http.c:355:33: note: called from here
  355 |                                 fprintf(stderr, "Received DONE message for unknown request!\n");
      |                                 ^

A related issue is #13016 .
This commit set PKG_FORTIFY_SOURCE to 0 if CONFIG_USE_LTO is y.

Close #24366

Link: https://lore.kernel.org/git/CAHfWF5mjquES-nocQaK+CAEsqWgdy-_OYdGtN82heYs0eJP3eQ@mail.gmail.com/T/#t
Link: https://github.com/openwrt/openwrt/issues/13016
Link: https://gcc.gnu.org/bugzilla/show_bug.cgi?id=110834
Signed-off-by: Ryan Keane <the.ra2.ifv@gmail.com>

zoneinfo: Updated to 2025a release.

Signed-off-by: Vladimir Ulrich <admin@evl.su>

mwan3: Add support for nslookup track method

Signed-off-by: Brian J. Murrell <brian@interlinx.bc.ca>

mwan3: Bug fixes with nping usage

The IP address family is a single dash option and one of 4 or 6, not tcp
or udp.

Signed-off-by: Brian J. Murrell <brian@interlinx.bc.ca>

vsftpd: fix bug related to option conf_file

* I had wrongly used config_get_bool for the option, so fixed it
* this also fixes the issue of /etc/init.d/vsftpd stop not working

Signed-off-by: Mohd Husaam Mehdi <husaam.mehdi@iopsys.eu>

syncthing: Update to 1.29.2 and Change logfile path

Update to 1.29.2 and Change logfile path from /etc/syncthing/syncthing
log to /var/log/syncthing.log.
This utilizes tmpfs (memory-based storage) to prevent disk usage growth
caused by log file accumulation during extended operation.

Benefits:
- Avoids storage saturation from excessive log growth.
- Aligns with best practices for temporary log management.
- For systems using flash storage (e.g., SSDs or eMMC), storing logs in
  tmpfs avoids flash memory wear caused by frequent writes to
  /etc/syncthing.

Signed-off-by: Yun Wang <maoerpet@foxmail.com>

pdns-recursor: update to 5.2.0

Signed-off-by: Peter van Dijk <peter.van.dijk@powerdns.com>

banIP: update 1.5.0-2

* fix typo in the log_outbound target
* update the readme

Signed-off-by: Dirk Brenken <dev@brenken.org>

lpac: update to 2.2.1, add support for custom ISD-R AID

Updated lpac to 2.2.1 and added support for custom ISD-R AIDs.
This allows for a broader range of esim cards with non standard AIDs to be supported.
See https://github.com/estkme-group/lpac/pull/181 for additional info.

Signed-off-by: Dominik Borghorst <git@borghorst.net>

netbird: update to 0.36.3

changelog: https://github.com/netbirdio/netbird/releases/tag/v0.36.3

Signed-off-by: Wesley Gimenes <wehagy@proton.me>

docker-compose: Update to version 2.32.4

Release notes:
https://github.com/docker/compose/releases/tag/v2.32.3
https://github.com/docker/compose/releases/tag/v2.32.4

Signed-off-by: Javier Marcet <javier@marcet.info>

adblock: update 4.2.3-3

Summary of three PRs regarding new adblock sources with minor changes/additions:

- add new source reg_lithuania, PR provided by @Myginas
- add new source certpl, PR provided by @jkostorz
- add new source oisd_nsfw_small, PR provided by @Turjoy9

Signed-off-by: Dirk Brenken <dev@brenken.org>

antiblock: Add AntiBlock package

AntiBlock program proxies DNS requests.
The IP addresses of the specified domains are added to
the routing table for routing through the specified interface.

Signed-off-by: Khachatryan Karen <karen0734@gmail.com>

banIP: release 1.5.0-1

* change the chain structure: only two regular chains contain the generated banIP sets.
  “_inbound” covers the base chains WAN-Input and WAN-Forward, ‘_outbound’ covers the base chain LAN-Forward.
* pre-configure the default chains for every feed in the banip.feeds json file, no longer blocks
  selected feeds in all chains by default
* it's now possible to split country and asn Sets by country or asn (disabled by default)
* support Set counters to report easily suspicious IPs per Set (disabled by default)
* make it possible, to opt out certain chains from the deduplication process
* the element search now returns all matches (and not only the first one)
* the report engine now includes statistics about the Inbound & Outbound chains and the Set counters (optional)
* save the temp. files of possible nft loading errors in "/tmp/banIP-errors" by default for easier debugging
* various code improvements
* remove ssbl feed (deprecated)
* add two new vpn feeds
* update the readme

Signed-off-by: Dirk Brenken <dev@brenken.org>

openvpn: update to 2.6.13

Feature changes:
 - on non-windows clients (MacOS, Linux, Unix) send "release" string from uname() call as IV_PLAT_VER to server
 - Windows: protect cached username, password and token in client memory
 - Windows: use new API to get dco-win driver version from driver
 - Linux: pass --timeout=0 argument to systemd-ask-password, to avoid default timeout of 90 seconds

Security fixes:
 - improve server-side handling of clients sending usernames or passwords longer than USER_PASS_LEN

Notable bug fixes:
 - FreeBSD DCO: fix memory leaks in nvlist handling
 - purge proxy authentication credentials from memory after use

For details refer to https://github.com/OpenVPN/openvpn/blob/v2.6.13/Changes.rst

Signed-off-by: Ivan Pavlov <AuthorReflex@gmail.com>

rsync: update to 3.4.1

Changelog: https://download.samba.org/pub/rsync/NEWS#3.4.1

Signed-off-by: John Audia <therealgraysky@proton.me>

sing-box: Update to 1.10.7

Signed-off-by: Milinda Brantini <C_A_T_T_E_R_Y@outlook.com>

nextdns: Update to version 1.44.4

Signed-off-by: Olivier Poitrey <rs@nextdns.io>

lua-ffi: update to 1.1.0

Signed-off-by: Jianhui Zhao <zhaojh329@gmail.com>

tree: bump to 2.2.1

Changelog: https://github.com/Old-Man-Programmer/tree/blob/master/CHANGES

Signed-off-by: John Audia <therealgraysky@proton.me>

rsync: update to 3.4.0

Changelog: https://download.samba.org/pub/rsync/NEWS#3.4.0

Signed-off-by: John Audia <therealgraysky@proton.me>

trojan-go: drop package

Upstream is dead.

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

ddns-scripts: correct name for ipv64.net

Correct the name in ipv64.net.json

Signed-off-by: Gedalya Nie <gedalya@gedalya.net>

ddns-scripts: cloudflare: use PATCH method, minimize changes

Using the PUT method recreates the DNS record with and only with
the newly provided data. This seems unnecessary. In particular,
we don't need to hardcode a TTL of 120. Any existing comment
would be lost too.

The only detail we need to change is the IP address. Leave everything
else as it was.

Signed-off-by: Gedalya Nie <gedalya@gedalya.net>

yq: Update to 4.45.1

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

v2ray-core: Update to 5.24.0

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

cloudflared: Update to 2025.1.0

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

transmissision: remove build dependency on nodejs

Have no idea why such dependency was added.
No documentation from transmission that they need
such dependency on build time. On the other hand
saves vast of time during build

Signed-off-by: Serhii Ivanov <icegood1980@gmail.com>

iperf: package update to v3.18

Signed-off-by: Sander <schutten@hotmail.com>

libedit: update to version 20250104-3.1

Signed-off-by: Jan Hák <jan.hak@nic.cz>

liburcu: update to version 0.15.0

Signed-off-by: Jan Hák <jan.hak@nic.cz>

acme-acmesh: Bump to v3.1.0

New upstream release with mostly minor fixes.

Signed-off-by: Toke Høiland-Jørgensen <toke@toke.dk>

mariadb: update to 11.4.4

Remove upstreamed patch.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

lighttpd: update to lighttpd 1.4.77 release hash

Signed-off-by: Glenn Strauss <gstrauss@gluelogic.com>

lighttpd: lighttpd.init add trigger on acme.renew

github: closes #24217
Signed-off-by: Glenn Strauss <gstrauss@gluelogic.com>

cargo-c: Version bump

Signed-off-by: Luca Barbato <lu_zero@gentoo.org>