https-dns-proxy: bugfix: restore empty server; misc improvements

* bugfix: properly restore empty server config for dnsmasq (to
  address issue brought up in https://github.com/stangri/source.openwrt.melmac.net/pull/162)
* better handling of non-existant wan/wan6 interface for triggers
* add resolver url to ubus data for future-proofing WebUI js move

Signed-off-by: Stan Grishin <stangri@melmac.ca>
(cherry picked from commit fbc63cb9f6ac808803038cfb2775c90085fdc989)

adblock: update 4.1.5-3

* fixed search regression in DNS report
* removed last shallalist pointers in the init help

Signed-off-by: Dirk Brenken <dev@brenken.org>
(cherry picked from commit ca4c4d4fbcccf1b7b27ed10840b528482fd106fb)

treewide: fix procd service inactive

Exit directly will result procd service inactive and uci
configuration changes are no longer monitored.

Reported-by: Lvc Revincx <revincx233@gmail.com>
Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>
(cherry picked from commit b1651c5d5444b990b58180a26d6e76779cbb88a9)

dnsproxy: Update to 0.45.4

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>
(cherry picked from commit 5801b0134ae857d1ba4563f327df593b603b4395)

Merge pull request #19661 from stangri/openwrt-22.03-https-dns-proxy

[22.03] https-dns-proxy: bugfix: prevent creation of empty interface trigger

Merge pull request #19659 from stangri/openwrt-22.03-simple-adblock

[22.03] simple-adblock: remove unnecessary procd_add_reload_interface_trigger

https-dns-proxy: bugfix: prevent creation of empty interface trigger

* When $wan/$wan6 are empty but double-quoted, it leads to creation
  of an interface trigger with empty interface

Signed-off-by: Stan Grishin <stangri@melmac.ca>
(cherry picked from commit 425cef2f8c0fd9f90d5f39c9777c877be09c2547)

simple-adblock: remove unnecessary procd_add_reload_interface_trigger

Signed-off-by: Stan Grishin <stangri@melmac.ca>
(cherry picked from commit ef067f6304b36ed036b07f241819521d3ba10991)

Merge pull request #19594 from pymumu/master

[openwrt-22.03] smartdns: update to 1.2022.38.1

Merge pull request #19636 from stangri/openwrt-22.03-https-dns-proxy

[22.03] https-dns-proxy: bugfix: remove canary domains

adblock: update 4.1.5-2

* fixed broken/blocked oisd download links (switched to the official github mirror)
* made sure that curl error out on http errors as well
* removed obsolete compatibility stuff from init script

Signed-off-by: Dirk Brenken <dev@brenken.org>
(cherry picked from commit f83baf221d11781b1e50b492af2353ad7438d351)

https-dns-proxy: bugfix: remove canary domains

* bugfix: canary domains persistence (as described in
  https://forum.openwrt.org/t/https-dns-proxy-canary-domain-persistance/139967)
* minor: remove global variables and make them local in
  service_start/service_stop/service_triggers
* minor: split DEFAULT_BOOTSTRAP into BOOTSTRAP_CF and BOOTSTRAP_GOOGLE for
  better code readability

Signed-off-by: Stan Grishin <stangri@melmac.ca>
(cherry picked from commit 92a45c3985cab20907205c9187a9c9394d07b4db)

Merge pull request #19634 from stangri/openwrt-22.03-https-dns-proxy

[22.03] https-dns-proxy: bugfix: remove wan6 from procd triggers

https-dns-proxy: bugfix: remove wan6 from procd triggers

* fixes https://github.com/openwrt/packages/issues/19631

Signed-off-by: Stan Grishin <stangri@melmac.ca>
(cherry picked from commit 409ce0f14fbf38a6c5d0d6c7689eef30441e6a4a)

irqbalance: update to 1.9.1

Update irqbalance version to 1.9.1

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>
(cherry picked from commit c1582e1ad085297790eaa7fba9b6da520205c35d)

irqbalance: add meson

Fixes compilation when libiconv is missing.

Also remove pthread from glibc. No longer needed.

Cleanup Makefile for consistency between packages.

Signed-off-by: Rosen Penev <rosenp@gmail.com>
(cherry picked from commit 59cadc7c65d5540b3e1bba26dfcd782cad98a5fe)

irqbalance: handle deepestcache option

Allow the user to specify the level at which irqbalance assumes the cache
domains are partitioned. Keep the default value of 2.

Signed-off-by: Rui Salvaterra <rsalvaterra@gmail.com>
(cherry picked from commit d9447cfdc20560e8b8d848e3925f40af81b66576)

Merge pull request #19604 from stangri/openwrt-22.03-nebula

[22.03] nebula: implement netifd support

Merge pull request #19626 from stangri/openwrt-22.03-simple-adblock

[22.03] simple-adblock: update to 1.9.2-1

adblock: update 4.1.5

* made the reporting/top statistics flexible, see "top_count" parm in CLI or in LuCI (default 10), fixes #19622
* added the new blocklist source cpbl (provided by PascalCoffeeLake@gmail.com)
* added/separated Easylist/Easyprivacy blocklist sources (provided by PascalCoffeeLake@gmail.com)
* added reg_jp blocklist_source (provided by PascalCoffeeLake@gmail.com)
* removed the easylist addons from the other regional lists
* removed the second/obsolete pl regional list and renamed the first one to "reg_pl"
* updated the readme

Signed-off-by: Dirk Brenken <dev@brenken.org>
(cherry picked from commit 0e19246d14d2b618cd67072334e3c30dd7caf5af)

ddns-scripts: fix cloudflare&digitalocean provides

Fixes mistake in dbe79e409d4d772d607364b47116a108508bb466, the
cloudflare PROVIDES got mixed up with digitalocean.

Signed-off-by: Michal Vasilek <michal.vasilek@nic.cz>
(cherry picked from commit 001564ed8356398c0e61dec12063604127b290e7)
Signed-off-by: Florian Eckert <fe@dev.tdt.de>
Remove PKG_RELEASE version bump

ddns-scripts: add PROVIDES for old package names

* ddns-scripts-services: provide ddns-scripts_service
* ddns-scripts-cloudflare: provide ddns-scripts_digitalocean.com-v2
* ddns-scripts-freedns: provide ddns-scripts_freedns_42_pl
* ddns-scripts-godaddy: provide ddns-scripts_godaddy.com-v1
* ddns-scripts-noip: provide ddns-scripts_no-ip_com
* ddns-scripts-nsupdate: provide ddns-scripts_nsupdate
* ddns-scripts-route53: provide ddns-scripts_route53-v1
* ddns-scripts-cnkuai: provide ddns-scripts_cnkuai_cn

https://github.com/openwrt/packages/pull/13509 renamed many ddns-scripts
packages, but didn't include a PROVIDES for the old package names to
make updates work well.

Signed-off-by: Michal Vasilek <michal.vasilek@nic.cz>
(cherry picked from commit dbe79e409d4d772d607364b47116a108508bb466)
Signed-off-by: Florian Eckert <fe@dev.tdt.de>
Remove PKG_RELEASE version bump

simple-adblock: update to 1.9.2-1

* make PKG_VERSION of the init script readonly to remove shellcheck
  exception
* replace exit with return in the the procd scripts per:
  https://github.com/openwrt/packages/pull/19617
* remove custom boot() function as it prevented creation of procd
  firewall object on start on boot
* improve performance of allowing domains code

Signed-off-by: Stan Grishin <stangri@melmac.ca>
(cherry picked from commit 3ba54553ca7bd93b9d0db7d28693fa05c7c7aa87)

tailscale: add version tests

Signed-off-by: Michal Vasilek <michal.vasilek@nic.cz>
(cherry picked from commit 551bb8b718fa94a072238f4078286df7cbad0242)

tailscale: fix -version

tailscale version, tailscaled -version and the web UI reported the wrong
version number which doesn't cause any issues, but it can be confusing.

This is fixed by specifying the version in go ldflags similar to how
it's done in many other go packages and the official tailscale Dockerfile.

version.Long version can not be specified in GO_PKG_LDFLAGS_X because it
contains a space and GO_PKG_LDFLAGS_X is always split at a space.

Signed-off-by: Michal Vasilek <michal.vasilek@nic.cz>
(cherry picked from commit 738f44be4f39191aa4640086f37ef62420442e06)

Merge pull request #19619 from mhei/22.03-libxml2-update-2.10.3

[22.03] libxml2: update to 2.10.3

libxml2: update to 2.10.3

This fixes:
    - CVE-2022-40303
    - CVE-2022-40304

Signed-off-by: Michael Heimpold <mhei@heimpold.de>
(cherry picked from commit c2742973b0cd25af90f378e4ea9a85e30861ce47)

Merge pull request #19612 from stangri/openwrt-22.03-https-dns-proxy

[22.03] https-dns-proxy: upstream bugfix for ca_info

https-dns-proxy: upstream bugfix for ca_info

* upstream bugfix: Add a forgotten 'NULL' initialize for ca_info
  if not manually set
* make init script PKG_VERSION variable readonly so that a
  shellcheck excettion can be removed
* add procd interface trigger to 'wan6' if IPv6 wan interface name
  cannot be obtained on start

Signed-off-by: Stan Grishin <stangri@melmac.ca>
(cherry picked from commit bca5d0ed8e4791b0c31b624c6fbc3e43e9c0a2a8)

numpy: bump to version 1.23.3

Also bump Cython version to 0.29.32

And yeeeey: zip -> tar.gz

And they fixed the Intel AVX extension stuff/detection.
Which is why I deferred updating it until now.

Signed-off-by: Alexandru Ardelean <ardeleanalex@gmail.com>
(cherry picked from commit 5b9a66cd7c437ab9d0c1e2b466739ec060f6e9d6)

gnunnet: halt build if any command fails

There are many places in the packages' install recipes whith multiple
commands being executed in the same shell invocation, separated with a
semicolon (;).  The return status will depend only on the last command
being run.  The same thing happens in loops, where only the last file
will determine the result of the command.

Change the ';' to '&&', and exit the loop if any operation fails.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>
(cherry picked from commit 2e75ccbb7d7d620d3ba101927f04732a1455b5af)

gnunnet: don't copy non-existing files

There are six places pointing to files that do not exist any more:
 - gns-import.sh in package gnunet-gns (dropped in v0.11.0)
 - libgnunetdnsstub.so* in gnunet-vpn (integrated into util in v0.11.0)
 - libgnunettun.so* in gnunet-vpn (integrated into util in v0.11.0)
 - gnunet-service-ats-new in package gnunet (dropped in v0.12.0)
 - libgnunetreclaimattribute.so.* (integrated into reclaim in v0.13.0)
 - libgnunetabe.so.* in gnunet-reclaim (dropped in v0.17.2)

They were not noticed because their failing copy commands were part of
loops in which only the last operation had its exit status checked.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>
(cherry picked from commit fb91f8b7b07e36b4f47f1808badedf7ba3937d3a)

gnunet: gnunet-rest: add libjose dependency

According to the package's configure.ac, reclaimID OpenID Connect plugin
depends on jose.  It is installed by the gnunet-rest plugin package:
libgnunnetrest_openid_connect.so.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>
(cherry picked from commit f0417960037d5138f9482821560ba7ccdc317fd4)

opendoas: avoid libpam dependency

Package is failing to build because it picks up libpam dependency
regardless of `BUSYBOX_CONFIG_PAM`.

Use configure args --with-pam, --without-pam to assert the option.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>
(cherry picked from commit 8cb0ed95dd101b1c8d4b44482ef2033a202b030f)

Revert "wget: update to 1.21.3"

With the newer wget version, wget-nossl can not be compiled due to
missing library, so let's revert it.

Package wget-nossl is missing dependencies for the following libraries:
libnettle.so.8

This reverts commit 5075f5b7010617ba916f251b418ef7c79b760b0a.

Signed-off-by: Josef Schlehofer <pepe.schlehofer@gmail.com>

nebula: implement netifd support

This commit contains the following:
* Update binary to version 1.6.1
* Update README URLs in the Makefile to link OpenWrt-specific info
* Separate the binary, the init script and netifd script into 3 packages:
  nebula, nebula-service and nebula-proto accordingly
* implement yml parser for init script to fetch variables from it
* add the netifd script for nebula protocol
* update test file to address all built packages
* make the PKG_VERSION variable of init/proto scripts readonly

Signed-off-by: Stan Grishin <stangri@melmac.ca>
(cherry picked from commit 51902f92066da5b127f2ee8c07b48903c664906d)

zabbix: add variants for SSL support
opkg does not offer ssl varients:
zabbix-agentd
zabbix-sender
zabbix-get
zabbix-proxy
zabbix-server

resolve this by adding ssl varients.

Signed-off-by: Scott Roberts <ttocsr@gmail.com>
(cherry picked from commit cd48d03f01917af2fd525955b6fd8b8498ad3d6f)

wget: update to 1.21.3

Release Notes:
https://lists.gnu.org/archive/html/info-gnu/2022-02/msg00017.html

Remove the patch "100-fix-sts-time". This patch was replaced upstream by
several other fixes, see:
https://git.savannah.gnu.org/cgit/wget.git/log/src/hsts.c

Signed-off-by: Nick Hainke <vincent@systemli.org>
(cherry picked from commit 5075f5b7010617ba916f251b418ef7c79b760b0a)

auc: update to 0.3.1

Remove wrongly placed 'break' statement to actually jump to the most
recent version of a release branch.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit fd36c91db869544df882de6812cf57dd5056c976)

auc: update to version 0.3.0

Most notably this brings support for processing package changes such
as suggesting to replace firewall with firewall4 when updating from
21.02.x -> 22.03.y release.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit 36525086ce468ba5f062f41be231be9f43d9488f)

snowflake: update to version 2.3.1

 03b2b56f Fix broker race condition
 36f03dfd Record proxy type for proxy relay stats

Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit 15fdb5fa166c1d41236c519821cad6e92fbb8e68)

perl-net-dns: update to version 1.35

**** 1.35 Oct 4, 2022

    Improve SVCB error reporting.

Fix rt.cpan.org #144328
    accept_reply test fails with matched consecutive "random"
    generated packet->id

Fix rt.cpan.org #144299
    Spelling errors.

**** 1.34 May 30, 2022

    Improve robustness of EDNS option compose/decompose functions.
    Simplify code in Makefile.PL.

Fix rt.cpan.org #142426
    Avoid "Useless use of a constant in void context" warning.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit b9338331be79cf8d0c1f9aa0dde2acf57a75ebe8)

pcsc-lite: update to verion 1.9.9

 1.9.9: Ludovic Rousseau
 11 September 2022
  - SCardEstablishContext() may return SCARD_W_SECURITY_VIOLATION if refused by Polkit
  - Fix SCardReleaseContext() failure on orphan handles
  - Fix SCardDisconnect() on orphan handle
  - pcsc-spy: log the pioSendPci & pioRecvPci SCardTransmit() parameters
  - Improve the log from pcscd: log the return code in text instead of hex
  - Some other minor improvements

Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit a8698d5ede0e00b73f95592d63be212483224ce1)

gawk: update to version 5.2.0

For changes see ChangeLog file[1].

[1]: https://git.savannah.gnu.org/cgit/gawk.git/plain/ChangeLog?h=gawk-5.2.0
Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit cd20631bc7db1faf7b543656a265734adad0a6e2)

libksba: update to version 1.6.1

Update to stable release 1.6.1.
See commit log since version 1.6.0 for changes[1].

[1]: https://git.gnupg.org/cgi-bin/gitweb.cgi?p=libksba.git;a=shortlog;h=d3c1e063d708a46ef39152256f8b1ea466b61be0
Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit df589ce880bef12a297bfa39738deae84710ed4c)

gnunet: update to version 0.17.5

Beware that switching to the new major version 0.17.x results in
incompatibility with clients still running 0.16.x.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit 6d49ad9e5c5a93014cc99f1c956eaa51b36ee95f)

libp11: update to version 0.4.12

Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit d3b50744769fe954b6713cca98c45325cc477df1)

libinput: update to version 1.19.4

This release includes a fix for CVE-2022-1215, a format string
vulnerabilty in the evdev device handling. For details, see
https://gitlab.freedesktop.org/libinput/libinput/-/issues/752

Peter Hutterer (2):
      evdev: strip the device name of format directives
      libinput 1.19.4

Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit b95dbe4187a7a21f7cf13f578a81fa0337706190)

libevdev: update to version 1.13.0

Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit 630f5b1608550bbe3dc204a50d873b3e54ad17af)

postgresql: update to version 14.5

Release date: 2022-08-11
Adresses CVE-2022-2625.
For more details, please see the release notes[1].

[1]: https://www.postgresql.org/docs/release/14.5/
Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit ead096d6dd6805f9c8dfa24611b7152618c502c8)

pcsc-lite: update to version 1.9.8

1.9.8: Ludovic Rousseau
11 June 2022
- Install install_spy.sh & uninstall_spy.sh scripts in docdir
- SCardTransmit(): do not fail if receive buffer is "too large"
- SCardControl(): do not fail if receive buffer is "too large"
- fix some memory leaks on shutdown
- use a better random number generator
- Some other minor improvements

1.9.7: Ludovic Rousseau
13 May 2022
- disable strict compilation by default
- fix 3 warnings

1.9.6: Ludovic Rousseau
11 May 2022
- do not fail reader removal in some specific cases (USB/Thunderbolt port)
- improve documentation regarding /etc/reader.conf.d/
- SCardGetStatusChange: speedup the case DISABLE_AUTO_POWER_ON
- configure:
  . add --disable-strict option
   By default the compiler arguments are now:
   -Wall -Wextra -Wno-unused-parameter -Werror ${CFLAGS}
  . fail if flex is not found
- fix different data races
- pcscdaemon: -v displays internal constants values:
  MAX_READERNAME & PCSCLITE_MAX_READERS_CONTEXTS
- Some other minor improvements

Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit db667b5b0ff51a2c74f61b166f1e5700e7161090)

exim: update to version 4.96

Exim version 4.96
-----------------

JH/01 Move the wait-for-next-tick (needed for unique message IDs) from
      after reception to before a subsequent reception.  This should
      mean slightly faster delivery, and also confirmation of reception
      to senders.

JH/02 Move from using the pcre library to pcre2.  The former is no longer
      being developed or supported (by the original developer).

JH/03 Constification work in the filters module required a major version
      bump for the local-scan API.  Specifically, the "headers_charset"
      global which is visible via the API is now const and may therefore
      not be modified by local-scan code.

JH/04 Fix ClamAV TCP use under FreeBSD. Previously the OS-specific shim for
      sendfile() didi not account for the way the ClamAV driver code called it.

JH/05 Bug 2819: speed up command-line messages being read in.  Previously a
      time check was being done for every character; replace that with one
      per buffer.

JH/06 Bug 2815: Fix ALPN sent by server under OpenSSL.  Previously the string
      sent was prefixed with a length byte.

JH/07 Change the SMTP feature name for pipelining connect to be compliant with
      RFC 5321.  Previously Dovecot (at least) would log errors during
      submission.

JH/08 Remove stripping of the binaries from the FreeBSD build.  This was added
      in 4.61 without a reason logged. Binaries will be bigger, which might
      matter on diskspace-constrained systems, but debug is easier.

JH/09 Fix macro-definition during "-be" expansion testing.  The move to
      write-protected store for macros had not accounted for these runtime
      additions; fix by removing this protection for "-be" mode.

JH/10 Convert all uses of select() to poll().  FreeBSD 12.2 was found to be
      handing out large-numbered file descriptors, violating the usual Unix
      assumption (and required by Posix) that the lowest possible number will be
      allocated by the kernel when a new one is needed.  In the daemon, and any
      child procesees, values higher than 1024 (being bigger than FD_SETSIZE)
      are not useable for FD_SET() [and hence select()] and overwrite the stack.
      Assorted crashes happen.

JH/11 Fix use of $sender_host_name in daemon process.  When used in certain
      main-section options or in a connect ACL, the value from the first ever
      connection was never replaced for subsequent connections.  Found by
      Wakko Warner.

JH/12 Bug 2838: Fix for i32lp64 hard-align platforms. Found for SPARC Linux,
      though only once PCRE2 was introduced: the memory accounting used under
      debug offset allocations by an int, giving a hard trap in early startup.
      Change to using a size_t.  Debug and fix by John Paul Adrian Glaubitz.

JH/13 Bug 2845: Fix handling of tls_require_ciphers for OpenSSL when a value
      with underbars is given.  The write-protection of configuration introduced
      in 4.95 trapped when normalisation was applied to an option not needing
      expansion action.

JH/14 Bug 1895: TLS: Deprecate RFC 5114 Diffie-Hellman parameters.

JH/15 Fix a resource leak in *BSD.  An off-by-one error resulted in the daemon
      failing to close the certificates directory, every hour or any time it
      was touched.

JH/16 Debugging initiated by an ACL control now continues through into routing
      and transport processes.  Previously debugging stopped any time Exim
      re-execs, or for processing a queued message.

JH/17 The "expand" debug selector now gives more detail, specifically on the
      result of expansion operators and items.

JH/18 Bug 2751: Fix include_directory in redirect routers.  Previously a
      bad comparison between the option value and the name of the file to
      be included was done, and a mismatch was wrongly identified.
      4.88 to 4.95 are affected.

JH/19 Support for Berkeley DB versions 1 and 2 is withdrawn.

JH/20 When built with NDBM for hints DB's check for nonexistence of a name
      supplied as the db file-pair basename.  Previously, if a directory
      path was given, for example via the autoreply "once" option, the DB
      file.pag and file.dir files would be created in that directory's
      parent.

JH/21 Remove the "allow_insecure_tainted_data" main config option and the
      "taint" log_selector.  These were previously deprecated.

JH/22 Fix static address-list lookups to properly return the matched item.
      Previously only the domain part was returned.

JH/23 Bug 2864: FreeBSD: fix transport hang after 4xx/5xx response. Previously
      the call into OpenSSL to send a TLS Close was being repeated; this
      resulted in the library waiting for the peer's Close.  If that was never
      sent we waited forever.  Fix by tracking send calls.

JH/24 The ${run} expansion item now expands its command string elements after
      splitting.  Previously it was before; the new ordering makes handling
      zero-length arguments simpler.  The old ordering can be obtained by
      appending a new option "preexpand", after a comma, to the "run".

JH/25 Taint-check exec arguments for transport-initiated external processes.
      Previously, tainted values could be used.  This affects "pipe", "lmtp" and
      "queryprogram" transport, transport-filter, and ETRN commands.
      The ${run} expansion is also affected: in "preexpand" mode no part of
      the command line may be tainted, in default mode the executable name
      may not be tainted.

JH/26 Fix CHUNKING on a continued-transport.  Previously the usabliility of
      the the facility was not passed across execs, and only the first message
      passed over a connection could use BDAT; any further ones using DATA.

JH/27 Support the PIPECONNECT facility in the smtp transport when the helo_data
      uses $sending_ip_address and an interface is specified.
      Previously any use of the local address in the EHLO name disabled
      PIPECONNECT, the common case being to use the rDNS of it.

JH/28 OpenSSL: fix transport-required OCSP stapling verification under session
      resumption. Previously verify failed because no certificate status is
      passed on the wire for the restarted session. Fix by using the recorded
      ocsp status of the stored session for the new connection.

JH/29 TLS resumption: the key for session lookup in the client now includes
      more info that a server could potentially use in configuring a TLS
      session, avoiding oferring mismatching sessions to such a server.
      Previously only the server IP was used.

JH/30 Fix string_copyn() for limit greater than actual string length.
      Previously the copied amount was the limit, which could result in a
      overlapping memcpy for newly allocated destination soon after a
      source string shorter than the limit.  Found/investigated  by KM.

JH/31 Bug 2886: GnuTLS: Do not free the cached creds on transport connection
      close; it may be needed for a subsequent connection.  This caused a
      SEGV on primary-MX defer.  Found/investigated by Gedalya & Andreas.

JH/32 Fix CHUNKING for a second message on a connection when the first was
      rejected.  Previously we did not reset the chunking-offered state, and
      erroneously rejected the BDAT command.  Investigation help from
      Jesse Hathaway.

JH/33 Fis ${srs_encode ...} to handle an empty sender address, now returning
      an empty address.  Previously the expansion returned an error.

HS/01 Bug 2855: Handle a v4mapped sender address given us by a frontending
      proxy.  Previously these were misparsed, leading to paniclog entries.

Also contains commit 51be321b27 "Fix PAM auth. Bug 2813" addressing
CVE-2022-37451.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit f2763b95afc57b88dc9d494b3fbf3841ba38a314)

gpgme: update to version 1.18.0

 Noteworthy changes in version 1.18.0 (2022-08-10)
 -------------------------------------------------

 * New keylist mode to force refresh via external methods.  [T5951]
 * The keylist operations now create an import result to report the
   result of the locate keylist modes.  [T5951]
 * core: Return BAD_PASSPHRASE error code on symmetric decryption
   failure.  [T5939]
 * cpp, qt: Do not export internal symbols anymore.  [T5906]
 * cpp, qt: Support revocation of own OpenPGP keys.  [T5904]
 * qt: The file name of (signed and) encrypted data can now be set.  [T6056]
 * cpp, qt: Support setting the primary user ID.  [T5938]
 * python: Fix segv(NULL) when inspecting contect after exeception.  [T6060]

Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit 00bfb4f151d80e8e6f7b860d423ef1fa8c926251)

cryptsetup: update to version 2.5.0

Update to new major release of cryptsetup. For details, please see
the release notes[1].

[1]: https://cdn.kernel.org/pub/linux/utils/cryptsetup/v2.5/v2.5.0-ReleaseNotes
Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit 80439f802cc61e826277851aaeb30ba7a221195c)

lvm2: update to release 2.03.16

Mostly bug fixes and minor improvements.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>
(cherry picked from commit 4e70f5caef0e80d75bb0c50c1819b9ded6923adc)

smartdns: update to 1.2022.38.1

Signed-off-by: Nick Peng <pymumu@gmail.com>

Merge pull request #19571 from 1715173329/v2

[openwrt-22.03] v2ray-core: add new package

python3: update to 3.10.7

* fixes CVE-2021-28861
* adjust pip and setuptools versions
* refresh patches

Signed-off-by: Michal Vasilek <michal.vasilek@nic.cz>
(cherry picked from commit e9ddc479f9a77b9d173081bbc57cd805b24942d8)

Merge pull request #19580 from stangri/openwrt-22.03-curl

[22.03] curl: error out if wolfSSL is not usable

curl: error out if wolfSSL is not usable

When we explicitly declare, that we would like to have curl built with
wolfSSL support using `--with-wolfssl` configure option, then we should
make sure, that we either endup with curl having that support, or it
shouldn't be available at all, otherwise we risk, that we end up with
regressions like following:

  configure:25299: checking for wolfSSL_Init in -lwolfssl
  configure:25321: x86_64-openwrt-linux-musl-gcc -o conftest [snip]
  In file included from target-x86_64_musl/usr/include/wolfssl/wolfcrypt/dsa.h:33,
                   from target-x86_64_musl/usr/include/wolfssl/wolfcrypt/asn_public.h:35,
                  from target-x86_64_musl/usr/include/wolfssl/ssl.h:35,
                   from conftest.c:47:
  target-x86_64_musl/usr/include/wolfssl/wolfcrypt/integer.h:37:14: fatal error: wolfssl/wolfcrypt/sp_int.h: No such file or directory
       #include <wolfssl/wolfcrypt/sp_int.h>
                ^~~~~~~~~~~~~~~~~~~~~~~~~~~~
  compilation terminated.

and in the end thus produce curl without https support:

 curl: (1) Protocol "https" not supported or disabled in libcurl

So fix it, by making the working wolfSSL mandatory and error out in
configure step when that's not the case:

 checking for wolfSSL_Init in -lwolfssl... no
 configure: error: --with-wolfssl but wolfSSL was not found or doesn't work

References: #19005, #19547
Upstream-Status: Accepted [https://github.com/curl/curl/pull/9682]
Signed-off-by: Petr Štetiar <ynezz@true.cz>
(cherry picked from commit 9140f366ef91c6eeb04ca39347c40deecaf56419)

Merge pull request #19568 from 1715173329/y3

[openwrt-22.03] yq: Update to 4.28.1

Merge pull request #19567 from 1715173329/c3

[openwrt-22.03] cloudflared: Update to 2022.10.0

v2ray-geodata: split from xray-geodata

This can be used for v2ray, Xray, v2rayA and some other projects,
make it generic.

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>
(cherry picked from commit 975153f93da132e545353d90ff3eb76b16ed0938)
[rebased into 22.03 branch]
Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

v2ray-core: add new package

Project V is a set of network tools that help you to build your own computer network.
It secures your network connections and thus protects your privacy.

For more details, see https://www.v2fly.org/en_US/guide/faq.html

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>
(cherry picked from commit 6461d1b055d32021de6591bebae4f3301a755fd0)

yq: Update to 4.28.1

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>
(cherry picked from commit 40f0e263bf63068ff8c4e1adeaf4e807498d95f5)

cloudflared: Update to 2022.10.0

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>
(cherry picked from commit 37bdf739b1c2710614db31a90df5e3e819d6aa01)

cloudflared: Update to 2022.9.1

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>
(cherry picked from commit cae36485f02b7f05a0296396483174f045cfece4)

Merge pull request #19553 from commodo/python-pytz-22.03

[22.03] python3-pytz: bump to version 2022.4

gg: Update to 0.2.13

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>
(cherry picked from commit 891b87747a5100d5e8c489cea0882a0a0ce8f127)

dnsproxy: Update to 0.45.2

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>
(cherry picked from commit b5ec852c54efe2ef69320101b37f0981c52063bd)

dnsproxy: Update to 0.45.0

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>
(cherry picked from commit 5b72dce338e197e0e3998d8a9d49f52248178a99)

Merge pull request #19544 from stangri/openwrt-22.03-https-dns-proxy

[22.03] https-dns-proxy: update to 2022-08-12-1

python3-pytz: bump to version 2022.4

Signed-off-by: Alexandru Ardelean <ardeleanalex@gmail.com>

bind: bump to 9.18.7

Fixes multiple security issues:

CVE-2022-38178 - Fix memory leak in EdDSA verify processing

CVE-2022-3080 - Fix serve-stale crash that could happen when
stale-answer-client-timeout was set to 0 and there was
a stale CNAME in the cache for an incoming query

CVE-2022-2906 - Fix memory leaks in the DH code when using OpenSSL 3.0.0
and later versions. The openssldh_compare(),
openssldh_paramcompare(), and openssldh_todns()
functions were affected

CVE-2022-2881 - When an HTTP connection was reused to get
statistics from the stats channel, and zlib
compression was in use, each successive
response sent larger and larger blocks of memory,
potentially reading past the end of the allocated
buffer

CVE-2022-2795 - Prevent excessive resource use while processing large
delegations

Signed-off-by: Noah Meyerhans <frodo@morgul.net>
(cherry picked from commit 58bcd3fad37eaf56d4dbeecc0c73abe464e7e987)

https-dns-proxy: update to 2022-08-12-1

* update to upstream version 2022-08-12
* add ca_certs_file option for CA certs file for curl
* add procd_add_interface_trigger for wan6 (hopefully fixes
  https://github.com/openwrt/packages/issues/19531)

Signed-off-by: Stan Grishin <stangri@melmac.ca>
(cherry picked from commit 796a3dda800b0d17df06d87995148b934be15e5d)

libgd: avoid recursive and redundant dependencies

Change the CONFLICTS line from the libgd-full to libgd to fix a
recursive dependency.

While at it, remove the redundant +LIBGD_TIFF:libtiff
+LIBGD_FREETYPE:libfreetype dependencies from Package/libgd/default.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>
(cherry picked from commit 085eb34fbf7c7aaa20da35ebe2f493601c5f19b2)

tor: update to 0.4.7.10

Release Notes:
https://forum.torproject.net/t/urgent-stable-release-0-4-5-14-0-4-6-12-and-0-4-7-10

Signed-off-by: Nick Hainke <vincent@systemli.org>
(cherry picked from commit b9cf0cdce6ee56778a0b7ecd3d5ed520b3e2dbac)
[fix commit title]
Signed-off-by: Nick Hainke <vincent@systemli.org>

expat: update to 2.4.9

Fixes CVE-2022-40674.

Release Notes:
- https://github.com/libexpat/libexpat/blob/R_2_4_8/expat/Changes
- https://github.com/libexpat/libexpat/blob/R_2_4_9/expat/Changes

Signed-off-by: Nick Hainke <vincent@systemli.org>
(cherry picked from commit a8774f84e9c18fb0ff1ab3f831a5fe8fcab377e0)

lighttpd: remove deprecated modules

Signed-off-by: Glenn Strauss <gstrauss@gluelogic.com>
(cherry picked from commit 9d7e18fb257914d0c03e0b5e9e4afef49073d375)

node: bump to v16.17.1

The following CVEs are fixed in this release:
* CVE-2022-32212: DNS rebinding in --inspect on macOS (High)
    * Insufficient fix for macOS devices on v18.5.0
* CVE-2022-32222: Node 18 reads openssl.cnf from /home/iojs/build/ upon startup on MacOS (Medium)
* CVE-2022-32213: HTTP Request Smuggling - Flawed Parsing of Transfer-Encoding (Medium)
    * Insufficient fix on v18.5.0
* CVE-2022-32215: HTTP Request Smuggling - Incorrect Parsing of Multi-line Transfer-Encoding (Medium)
    * Insufficient fix on v18.5.0
* CVE-2022-35256: HTTP Request Smuggling - Incorrect Parsing of Header Fields (Medium)
* CVE-2022-35255: Weak randomness in WebCrypto keygen
More detailed information on each of the vulnerabilities can be found in September 22nd 2022 Security Releases blog post.

llhttp updated to 6.0.10
llhttp is updated to 6.0.10 which includes fixes for the following vulnerabilities.
* HTTP Request Smuggling - CVE-2022-32213 bypass via obs-fold mechanic (Medium)(CVE-2022-32213 ): The llhttp parser in the http module does not correctly parse and validate Transfer-Encoding headers. This can lead to HTTP Request Smuggling (HRS).
* HTTP Request Smuggling - Incorrect Parsing of Multi-line Transfer-Encoding (Medium)(CVE-2022-32215): The llhttp parser in the http module does not correctly handle multi-line Transfer-Encoding headers. This can lead to HTTP Request Smuggling (HRS).
* HTTP Request Smuggling - Incorrect Parsing of Header Fields (Medium)(CVE-35256): The llhttp parser in the http does not correctly handle header fields that are not terminated with CLRF. This can lead to HTTP Request Smuggling (HRS).

Signed-off-by: Hirokazu MORIKAWA <morikw2@gmail.com>
(cherry picked from commit 658621bf5eec076f6f1a7d12b29105fba279a379)

Merge pull request #19521 from ynezz/ynezz/openwrt-22.03-wolfssl-CVE-2022-39173

[22.03] treewide: fix security issues by bumping all packages using libwolfssl

Merge pull request #19528 from stangri/openwrt-22.03-https-dns-proxy

[22.03] https-dns-proxy: add settings for canary domains

https-dns-proxy: add settings for canary domains

* add setting to enable/disable blocking access to iCloud Private Relay resolvers
* add setting to enable/disable blocking access to Mozilla resolvers
* rename variables loaded from config in the init script

Signed-off-by: Stan Grishin <stangri@melmac.ca>
(cherry picked from commit 4ff71d8e4cd7cd4b3f4cc0d4d832ead512edef08)

Merge pull request #19526 from stangri/openwrt-22.03-https-dns-proxy

[22.03] https-dns-proxy: bugfix: prevent canary domains duplicates

https-dns-proxy: bugfix: prevent canary domains duplicates

Signed-off-by: Stan Grishin <stangri@melmac.ca>
(cherry picked from commit f99ada410fa799b419ca7819ed2bbcf779ec3d12)

Merge pull request #19516 from mhei/22.03-php8-update-8.1.11

[22.03] php8: update to 8.1.11

treewide: fix security issues by bumping all packages using libwolfssl

As wolfSSL is having hard time maintaining ABI compatibility between
releases, we need to manually force rebuild of packages depending on
libwolfssl and thus force their upgrade. Otherwise due to the ABI
handling we would endup with possibly two libwolfssl libraries in the
system, including the patched libwolfssl-5.5.1, but still have
vulnerable services running using the vulnerable libwolfssl-5.4.0.

So in order to propagate update of libwolfssl to latest stable release
done in commit ec8fb542ec3e4 ("wolfssl: fix TLSv1.3 RCE in uhttpd by
using 5.5.1-stable (CVE-2022-39173)") which fixes several remotely
exploitable vulnerabilities, we need to bump PKG_RELEASE of all packages
using wolfSSL library.

Same bump has been done in buildroot in commit f1b7e1434f66 ("treewide:
fix security issues by bumping all packages using libwolfssl").

Signed-off-by: Petr Štetiar <ynezz@true.cz>
(cherry picked from commit 845d81ca0976c82829addc23e9e8b95885c910ee)

Revert "treewide: fix security issues by bumping all packages using libwolfssl"

This reverts commit 0ddec62e6911b7f97016062ee18f6558f455debc as it was
backport too soon, we need to first wait for fixed libwolfssl being
available.

Signed-off-by: Petr Štetiar <ynezz@true.cz>

treewide: fix security issues by bumping all packages using libwolfssl

As wolfSSL is having hard time maintaining ABI compatibility between
releases, we need to manually force rebuild of packages depending on
libwolfssl and thus force their upgrade. Otherwise due to the ABI
handling we would endup with possibly two libwolfssl libraries in the
system, including the patched libwolfssl-5.5.1, but still have
vulnerable services running using the vulnerable libwolfssl-5.4.0.

So in order to propagate update of libwolfssl to latest stable release
done in commit ec8fb542ec3e4 ("wolfssl: fix TLSv1.3 RCE in uhttpd by
using 5.5.1-stable (CVE-2022-39173)") which fixes several remotely
exploitable vulnerabilities, we need to bump PKG_RELEASE of all packages
using wolfSSL library.

Same bump has been done in buildroot in commit f1b7e1434f66 ("treewide:
fix security issues by bumping all packages using libwolfssl").

Signed-off-by: Petr Štetiar <ynezz@true.cz>
(cherry picked from commit 845d81ca0976c82829addc23e9e8b95885c910ee)

openvpn: explicitly disable engine parameter for openssl variant

Engine support is deprecated in OpenSSL 3.0 and for OpenSSL 3.0 the default
is to disable engine support as engine support is deprecated. For ath79 architecture
build with autodetection engine support fails, so explicitly set off for now.

Signed-off-by: Ivan Pavlov <AuthorReflex@gmail.com>
(cherry picked from commit 62e909e845e25ea87d671358cc8f4724326c7eaf)

openvpn: update to 2.5.7

Added limited support for OpenSSL 3.0
Fixed some bugs

Signed-off-by: Ivan Pavlov <AuthorReflex@gmail.com>
(cherry picked from commit 45b751dd850b20e791851d116f2f927c3fbe79eb)

openvpn: update to 2.5.6

Maintainer: me / @mkrkn

Compile tested: ramips/mt7620 TP-Link Archer C50 v1, ramips/mt7621 Xiaomi Mi router 3 Pro, ath79/generic TP-Link WDR-3500
Run tested: ramips/mt7620 TP-Link Archer C50 v1, ramips/mt7621 Xiaomi Mi router 3 Pro, ath79/generic TP-Link WDR-3500

bugfix release including one security fix ("Disallow multiple deferred authentication plug-ins.", CVE: 2022-0547)

several build fixes, refer to https://github.com/OpenVPN/openvpn/blob/release/2.5/Changes.rst

Signed-off-by: Ivan Pavlov <AuthorReflex@gmail.com>
(cherry picked from commit 172795b8584c43327d320b591ab64647e4b821d4)

rtty: update to 8.0.1

Signed-off-by: Jianhui Zhao <zhaojh329@gmail.com>
(cherry picked from commit 0ea357c164d4d265d750459de2ad6a63149fe89e)

php8: update to 8.1.11

This fixes:
    - CVE-2022-31628
    - CVE-2022-31629

Signed-off-by: Michael Heimpold <mhei@heimpold.de>
(cherry picked from commit e0db68ef0af282679f3450e34d6d7c2a817b9af2)

Merge pull request #19502 from stangri/openwrt-22.03-simple-adblock

[22.03] simple-adblock: allow domains bugfix & canary domains support

nextdns: initialize nextdns from /etc/uci-defaults

Signed-off-by: Marc Benoit <marcb62185@gmail.com>
(cherry picked from commit e54247a6fa9c03f286d38460c425d6dbd622b657)

dnslookup: Update to 1.8.0

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>
(cherry picked from commit 671e794db130b1819f041346e8f19ad752f6aa08)

simple-adblock: allow domains bugfix & canary domains support

* fix bug in download_lists and adb_allow to prevent unintended exclisions from
  the block-lists of domains containing allowed domain. Fixes issue:
  https://github.com/stangri/source.openwrt.melmac.net/issues/160
* add support for returning NXDOMAIN/blocking iCloud & Mozilla canary domains,
  disabled by default

Signed-off-by: Stan Grishin <stangri@melmac.ca>
(cherry picked from commit 9156ef6507f8c3fe6785234dff223bad5b59a78e)

Merge pull request #19490 from stangri/openwrt-22.03-https-dns-proxy

[22.03] https-dns-proxy: uci wrappers & iCloud canary domains

Merge pull request #19469 from stangri/openwrt-22.03-simple-adblock

[22.03] simple-adblock: update to 1.9.1-1