OpenAppID: add new package

Traditionally, Snort rules are based upon packet analysis.  OpenAppID
enables detection of applications/cloud applications on the network.

This package provides OpenAppID and signature files used by OpenAppID to detect
network traffic from certain applications can be used to identify rogue
application use, detect malicious applications and implement various
application policies, such as application blacklisting, limiting application
usage, and enforcing conditional controls.

To use, for example, edit /etc/snort/local.lua and add the following section
at a minimum:

appid = {
  app_detector_dir = '/usr/lib/openappid',
  log_stats = true,
  app_stats_period = 60,
}

Signed-off-by: John Audia <therealgraysky@proton.me>

nano: update to 7.1

Update nano editor to version 7.1
* drop the backported upstream fix for 7.0
* drop AUTORELEASE
* disable justify from 'plus'. Rarely needed with OpenWrt

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>

pdns-recursor: update to 4.8.0

Signed-off-by: Peter van Dijk <peter.van.dijk@powerdns.com>

Merge pull request #20083 from paper42/miniflux-2.0.41

miniflux: update to 2.0.41

Merge pull request #20088 from tohojo/acme-paths

acme: Export the canonical paths for certificates and challenges

acme-acmesh: Provide a 'combined' certificate bundle as well

The haproxy hotplug script creates a 'combined' certificate bundle that
contains both the certificate chain and the private key. However, having a
daemon hotplug script write into CERT_DIR is not great; so let's provide
the bundle as part of the main acme framework, keeping it in $domain_dir
and just linking it into CERT_DIR. That way we can keep CERT_DIR as just a
collection of links for everything, that no consumers should need to write
into.

Also make sure to set the umask correctly so the combined file is not
world-readable (since it contains the private key).

Signed-off-by: Toke Høiland-Jørgensen <toke@toke.dk>

acme-acmesh: Don't hard-code certificate directory

The acme-acmesh package hardcoded the certificate path in its hook script.
Now that we export it as a variable we can avoid hard-coding and use the
variable version instead. Also factor out the linking of certificates into
a function so it's not repeated.

Signed-off-by: Toke Høiland-Jørgensen <toke@toke.dk>

acme-common: Export canonical paths for storing certificates and challenges

The contract between the acme-common framework and consumers and hook
scripts is that certificates can be consumed from /etc/ssl/acme and that
web challenges are stored in /var/run/acme/challenge. Make this explicit by
exporting $CERT_DIR and $CHALLENGE_DIR as environment variables as well,
instead of having knowledge of those paths depend on out-of-band
information. We already exported $challenge_dir, but let's change it to
upper-case to make it clear that it's not a user configuration variable.

Signed-off-by: Toke Høiland-Jørgensen <toke@toke.dk>

perl: enable threading support for aarch64 by default

Perl threads seem to be supported and working for aarch64, and
including aarch64 here would allow packages like freeswitch-mod-perl
to become available from the standard OpwnWrt package repository for
popular routers such as the Linksys E8450 and Belkin RT3200.

Signed-off-by: Doug Thomson <dwt62f+github@gmail.com>

Merge pull request #20082 from paper42/yt-dlp-2022.11.11

yt-dlp: update to 2022.11.11

base16384: add new package

Encode binary files to printable utf16be.
See more at https://github.com/fumiama/base16384.

Signed-off-by: 源 文雨 <fumiama@foxmail.com>

Merge pull request #20059 from hgl/acme

acme: deprecate state_dir

Merge pull request #20067 from dynasticorpheus/master

python-pycares: bump to 4.3.0

acme-acmesh: use $challenge_dir

Signed-off-by: Glen Huang <i@glenhuang.com>

acme: deprecate state_dir

state_dir is actually a hardcoded value in conffiles. Allowing users to
customize it could result in losing certificates after upgrading if they
don't also specify the dir as being preserved. We shouldn't default to
this dangerous behavior.

With the new ACME package, certificates live in the standard location
/etc/ssl/acme, users who need to do certificate customizations should
look for them in that dir instead.

Signed-off-by: Glen Huang <i@glenhuang.com>

Merge pull request #20016 from commodo/stress-ng-update

stress-ng: bump to version 0.15.00

python-pycares: PKG_RELEASE:=1

Signed-off-by: Fabian Lipken <dynasticorpheus@gmail.com>

miniflux: update to 2.0.41

Signed-off-by: Michal Vasilek <michal.vasilek@nic.cz>

yt-dlp: update to 2022.11.11

Signed-off-by: Michal Vasilek <michal.vasilek@nic.cz>

stress-ng: bump to version 0.15.00

Signed-off-by: Alexandru Ardelean <ardeleanalex@gmail.com>

Merge pull request #20062 from stangri/master-pbr

pbr: detect missing iptables

openssh: update to 9.1p1

Signed-off-by: Sibren Vasse <github@sibrenvasse.nl>

Merge pull request #20076 from stangri/master-simple-adblock

simple-adblock: bugfix: add dnsmasq.nftset to uci_load_validate

simple-adblock: bugfix: add dnsmasq.nftset to uci_load_validate

* fixes https://github.com/openwrt/openwrt/issues/11481 thanks to:
* https://github.com/mistepien for reporting
* https://github.com/dave14305 for diagnosing

Signed-off-by: Stan Grishin <stangri@melmac.ca>

Merge pull request #19982 from golddranks/master

ddns-scripts: update_gandi_net: improve logging & add timeout

knot: update to version 3.2.4

Signed-off-by: Jan Hák <jan.hak@nic.cz>

syncthing: update to 1.22.2

Signed-off-by: Van Waholtz <brvphoenix@gmail.com>

python-pycares: bump to 4.3.0

Signed-off-by: Fabian Lipken <dynasticorpheus@gmail.com>

Merge pull request #20064 from luizluca/ruby-3.1.3

ruby: update to 3.1.3

ruby: update to 3.1.3

This release includes a security fix.

- CVE-2021-33621: HTTP response splitting in CGI

For more details:
- https://www.ruby-lang.org/en/news/2022/11/24/ruby-3-1-3-released/

Signed-off-by: Luiz Angelo Daros de Luca <luizluca@gmail.com>

pbr: detect missing iptables

Signed-off-by: Stan Grishin <stangri@melmac.ca>

pdns: update to 4.7.3

Signed-off-by: Peter van Dijk <peter.van.dijk@powerdns.com>

wget: apply upstream fix to avoid nettle linking in nossl

Replace my own patch with the upstream solution, which they issued
in response to my bug report.
(Two patches as they overlooked something on the first try.
Reference to https://savannah.gnu.org/bugs/index.php?63431 )

The nettle lib evaluation is now conditional to not having "--disable-ntlm".

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>

Merge pull request #20052 from stangri/master-https-dns-proxy

https-dns-proxy: fix restart

https-dns-proxy: fix restart

Signed-off-by: Stan Grishin <stangri@melmac.ca>

Merge pull request #20040 from stangri/master-https-dns-proxy

https-dns-proxy: add mdns service records

Merge pull request #20050 from stangri/master-simple-adblock

simple-adblock: support new OISD dnsmasq config

simple-adblock: support new OISD dnsmasq config

* OISD dnsmasq config files switched from using address= to server=

Signed-off-by: Stan Grishin <stangri@melmac.ca>

ddns-scripts: update_gandi_net: improve logging & add timeout

- Improved logging
  - Log the executed curl command to be able to rerun and test it manually
  - Log the curl exit status
- Added 30 second timeout timeout for clear-cut detection of flaky connections.

Signed-off-by: Pyry Kontio <pyry.kontio@drasa.eu>

Merge pull request #20018 from cbarrick/gcp_ddns

ddns-scripts: add support for Google Cloud DNS

Merge pull request #20037 from 1715173329/g1194

golang: Update to 1.19.4

zoneinfo: updated to the latest release

Signed-off-by: Vladimir Ulrich <admin@evl.su>

ddns-scripts: add support for Google Cloud DNS

The implementation uses a GCP service account. The user is expected to
create and secure a service account and generate a private key. The
"password" field can contain the key inline or be a file path pointing
to the key file on the router.

The GCP project name and Cloud DNS ManagedZone must also be provided.
These are taken as form-urlencoded key-value pairs in param_enc. The TTL
can optionally be supplied in param_opt.

Signed-off-by: Chris Barrick <chrisbarrick@google.com>

tailscale: preserve tailscaled state file

Fixes #19774

Signed-off-by: Carlo Alberto Ferraris <cafxx@strayorange.com>

modemmanager: bump to 1.20.2

Drop deprecated AUTORELEASE.

Disable unused tests as its compilation is optional in 1.20.

Signed-off-by: Kuan-Yi Li <kyli@abysm.org>

libqmi: bump to 1.32.2

Drop deprecated AUTORELEASE.

Signed-off-by: Kuan-Yi Li <kyli@abysm.org>

libmbim: bump to 1.28.2

Drop deprecated AUTORELEASE.

Signed-off-by: Kuan-Yi Li <kyli@abysm.org>

libqrtr-glib: drop deprecated AUTORELEASE

Signed-off-by: Kuan-Yi Li <kyli@abysm.org>

swig: bump to 4.1.1

update summary
* Add Javascript Node v12-v18 support, remove support prior to v6.
* Octave 6.0 to 6.4 support added.
* Add PHP 8 support.
* PHP wrapping is now done entirely via PHP's C API - no more .php wrapper.
* Perl 5.8.0 is now the oldest version SWIG supports.
* Python 3.3 is now the oldest Python 3 version SWIG supports.
* Python 3.9-3.11 support added.
* Various memory leak fixes in Python generated code.
* Scilab 5.5-6.1 support improved.
* Many improvements for each and every target language.
* Various preprocessor expression handling improvements.
* Improved C99, C++11, C++14, C++17 support. Start adding C++20 standard.
* Make SWIG much more move semantics friendly.
* Add C++ std::unique_ptr support.
* Few minor C++ template handling improvements.
* Various C++ using declaration fixes.
* Few fixes for handling Doxygen comments.
* GitHub Actions is now used instead of Travis CI for continuous integration.
* Add building SWIG using CMake as a secondary build system.
* Update optional SWIG build dependency for regex support from PCRE to PCRE2.
* Couple of stability fixes.
* Stability fix in ccache-swig when calculating hashes of inputs.
* Some template handling improvements.
* R - minor fixes plus deprecation for rtypecheck typemaps being optional.

Signed-off-by: Hirokazu MORIKAWA <morikw2@gmail.com>

github-ci: error on any shell errors

Enable `errexit` and `nounset` [POSIX shell options][1]
in `.github/workflows/entrypoint.sh` so that the script fails
if any command within the script fails.

[1]: https://pubs.opengroup.org/onlinepubs/9699919799//utilities/V3_chap02.html#set

Reported-by: Marius Dinu <m95d+git@psihoexpert.ro>
Fixes: https://github.com/openwrt/packages/issues/19953
Signed-off-by: Alois Klink <alois@aloisklink.com>

privoxy: fix preinst/postinst script indentation

Fix the indentation of the preinst/postinst scripts for the privoxy
package.

Because these scripts didn't start with `#!/bin/sh`
(they instead started with the TAB character), `/bin/sh` was not used
to start them.

On x86_64 and i386_pentium-mmx, this seems to be fine, but on
arm_cortex-a15_neon-vfpv4 and aarch64_cortex-a53, running these
scripts fails with a:

```
Installing privoxy (3.0.33-3) to root...
Collected errors:
 * pkg_run_script: package "privoxy" preinst script returned status 1.
 * preinst_configure: Aborting installation of privoxy.
 * opkg_install_cmd: Cannot install package privoxy.
```

Reported-by: Marius Dinu <m95d+git@psihoexpert.ro>
Signed-off-by: Alois Klink <alois@aloisklink.com>

Merge pull request #20032 from peter-stadler/django

django: bump version 4.1.3

django: bump version 4.1.3

fix CVE-2022-41323

Signed-off-by: Peter Stadler <peter.stadler@student.uibk.ac.at>

Merge pull request #19933 from stintel/vallumd

vallumd: updates

https-dns-proxy: add mdns service records

* add mdns records for started instances
* Makefile: use $(PKG_VERSION) as a value for PKG_SOURCE_DATE instead of
  hard-coding it

Signed-off-by: Stan Grishin <stangri@melmac.ca>

snort3: unified configs: local.lua and homenet.lua

This commit adds /etc/snort/local.lua and /etc/snort/homenet.lua for user
defined config options which is more simplistic than modifying upstream
files directly. That can be tedious and decisive to maintain in sync with
upstream changes.  The init script has been adjusted accordingly.

Acknowledgment to amish who maintains the Arch Linux snort-nfqueue package[1]
for these ideas and initial code.

Another modification is dropping the following args in the call to
/usr/bin/snort by the init system as these options are provided in
/etc/snort/local.lua:

 * --daq-dir /usr/lib/daq/
 * -A "$alert_module"

Instructions to configure snort3:
1. Edit /etc/snort/homenet.lua and redefine HOME_NET and EXTERNAL_NET, for example:

   HOME_NET = [[ 10.9.8.0/24 192.168.1.0/24 ]]
   EXTERNAL_NET = "!$HOME_NET"

2. Edit /etc/snort/local.lua to setup options unique to your use case of snort.
   The default ones I included should be sane for the role of IDS (alert only),
   but users may easily uncomment some options therein to use IPS (drop) mode.

3. Install or symlink rules to /etc/snort/rules/snort.rules and optionally
   edit /etc/snort/local.lua to define extra rules files if not using a unified
   'snort.rules'

References:
1. https://aur.archlinux.org/packages/snort-nfqueue

Signed-off-by: John Audia <therealgraysky@proton.me>

golang: Update to 1.19.4

go1.19.4 (released 2022-12-06) includes security fixes to the net/http
and os packages, as well as bug fixes to the compiler, the runtime,
and the crypto/x509, os/exec, and sync/atomic packages.

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

Merge pull request #20036 from ysc3839/natmap-fix

natmap: merge "ipv4" and "ipv6" options into single "family" option

bpfcountd: remove incomplete/broken namespace feature

The original idea of the extra namespace variable was to set up
bpfcountd from other daemons etc. independent of what a user configured
in /etc/config/bpfcountd for instance. Like:

 $ UCI_CONFIG_DIR=/var/run/bpfcountd/gluon-config \
   /etc/init.d/bpfcountd start "" gluon

However there are still issues with this approach:

1) Instance specific stop calls like:

 $ /etc/init.d/bpfcountd stop <instance-name> <namespace>"

will not  stop the according namespaced instance, as the stop() in
/etc/rc.common will call procd_kill() without the namespace prefix.
And we can't overwrite that behaviour. And asking a user to use
"... start <in> <ns>" and "... stop <ns>.<in>" is confusing.
(and currently "... stop <ns>.<in>" would not remove the correct
unix socket).

2) A stop call without an instance/config name would always stop all
instances. So the namespace variable would be ignored.
While start without an instance "works", but:

3) It would stop any process that is not in the currently selected
UCI_CONFIG_DIR.

As all this is not easily fixable without changing OpenWrt internals,
just remove the whole namespace idea for now.

Signed-off-by: Linus Lüssing <linus.luessing@c0d3.blue>

natmap: merge "ipv4" and "ipv6" options into single "family" option

Signed-off-by: Richard Yu <yurichard3839@gmail.com>

dnsproxy: Update to 0.46.4

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

cloudflared: Update to 2022.11.1

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

Merge pull request #19613 from wormi4ok/tailscale-version-bump

tailscale: update to v1.32.0

snort3: update to 3.1.48.0-1

Had to add a patch to allow builds of targets containing '+' in their dir name

Build system: x86_64
Build-tested: bcm2711/RPi4B
Run-tested: bcm2711/RPi4B

Signed-off-by: John Audia <therealgraysky@proton.me>

Merge pull request #19998 from ysc3839/natmap

natmap: add new package

natmap: add new package

NATMap is a program for opening port behind full cone NAT (NAT-1),
without the need for using UPnP or another port forward settings.

More details can be found at original repo: https://github.com/heiher/natmap

Signed-off-by: Richard Yu <yurichard3839@gmail.com>

snowflake: update to version 2.4.1

Changes in version v2.4.1 - 2022-12-01
 - Issue 40224: Bug fix in utls roundtripper

Changes in version v2.4.0 - 2022-11-29
 - Fix proxy command line help output
 - Issue 40123: Reduce multicast DNS candidates
 - Add ICE ephemeral ports range setting
 - Reformat using Go 1.19
 - Update CI tests to include latest and minimum Go versions
 - Issue 40184: Use fixed unit for bandwidth logging
 - Update gorilla/websocket to v1.5.0
 - Issue 40175: Server performance improvements
 - Issue 40183: Change snowflake proxy log verbosity
 - Issue 40117: Display proxy NAT type in logs
 - Issue 40198: Add a `orport-srcaddr` server transport option
 - Add gofmt output to CI test
 - Issue 40185:  Change bandwidth type from int to int64 to prevent overflow
 - Add version output support to snowflake
 - Issue 40229: Change regexes for ipv6 addresses to catch url-encoded addresses
 - Issue 40220: Close stale connections in standalone proxy

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

Merge pull request #19763 from stangri/master-pbr

pbr: initial commit

docker-compose: Update to version 2.14.0

Signed-off-by: Javier Marcet <javier@marcet.info>

xz: update to 5.2.9

Update xz to version 5.2.9.

Switch back to .bz2 sources, as we already download .bz2 for tools/
No sense to re-download sources as a .xz file.

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>

tvheadend: Fix github warning about AUTORELEASE

Signed-off-by: Marius Dinu <m95d+git@psihoexpert.ro>

tvheadend: add conditions for -O3 and LTO optimizations

Building for arc, mips and powerpc platforms fails if -O3 and LTO optimizations are enabled. This patch removes that option for everything other than arm and x86_64. These are known to work.
Fixes issue #19923.
Also fixes a typo in the description.

Signed-off-by: Marius Dinu <m95d+git@psihoexpert.ro>

tailscale: Update to version 1.32.3

Signed-off-by: Stanislav Petrashov <s@petrashov.ru>

tailscale: update to v1.32.0

Signed-off-by: Stanislav Petrashov <s@petrashov.ru>

pbr: initial commit

* The makefile produces the nft and iptables capable `pbr` package
  and the `pbr-iptables` package for legacy setups
* This replaces `vpnbypass` and `vpn-policy-routing` packages
* I'm soliciting feedback on this package and my intention is to
  update the version to 1.0.0 before this is merged, but I need the
  feedback on this and luci-app-pbr before then.

Signed-off-by: Stan Grishin <stangri@melmac.ca>

bpfcountd: add initial package

bpfcountd was created to obtain packet statistics in larger networks
without stressing the cpu resources. bpfcountd will count the amount
of packages and bytes over time (for each defined rule). The rules
are defined using the tcpdump filter syntax (bpf). The collected
data is provided on a unix socket in plaintext.

Signed-off-by: Linus Lüssing <linus.luessing@c0d3.blue>

Merge pull request #19993 from stangri/master-simple-adblock

simple-adblock: localizable error/warning messages

ci: only comment AUTORELEASE deprecation if exists

If it doesn't exists, don't confuse the contributors.

Signed-off-by: Paul Spooren <mail@aparcar.org>

stubby: bump to latest 0.4.2

Maintainer: @neheb (find it by checking history of the package Makefile)
Compile tested: aarch64/ipq8074
Run tested: aarch64/ipq8074

Description: stubby: bump to latest 0.4.2

Signed-off-by: Rudy Andram <rmandrad@gmail.com>

frr: update to 8.4.1

Signed-off-by: Lucian Cristian <lucian.cristian@gmail.com>

nss: update to 3.85

Signed-off-by: Lucian Cristian <lucian.cristian@gmail.com>

lighttpd: add lighttpd-mod-rrdtool dep on rrdtool1

add lighttpd-mod-rrdtool dependency on rrdtool1

Signed-off-by: Glenn Strauss <gstrauss@gluelogic.com>

lighttpd: lighttpd-1.4.67-4

Signed-off-by: Glenn Strauss <gstrauss@gluelogic.com>

lighttpd: lighttpd.conf vars, comments, guidance

lighttpd.conf variables, documentation comments, configuration guidance

Signed-off-by: Glenn Strauss <gstrauss@gluelogic.com>

lighttpd: print stderr trace if validation fails

lighttpd.init validate_conf(): print stderr trace if validation fails

Signed-off-by: Glenn Strauss <gstrauss@gluelogic.com>

microsocks: add low resource SOCKS5 TCP/IP only proxy server

Initial version 1.0.3

Signed-off-by: Mateusz Korniak <matkorgithubcom@ant.gliwice.pl>

Merge pull request #19992 from hnyman/wget

wget: update to 1.21.3

simple-adblock: localizable error/warning messages

* store all error/warning messages with the error text id so that
  they can be made localizable for the luci app

Signed-off-by: Stan Grishin <stangri@melmac.ca>

Merge pull request #19987 from stangri/master-simple-adblock

simple-adblock: bugfix: detect dnsmasq ipset support

Merge pull request #19985 from stangri/master-https-dns-proxy

https-dns-proxy: improve performance on restart

wget: update to 1.21.3

Update wget to 1.21.3

* Remove patch 100-fix-hsts-time.patch as upstream has issued
  its own version on the fixes

* Add a hack (and fixup autoreconf) to fix an upstream bug that
  forces the nettle library into nossl even if NTLM is disabled.
  Upstream bug filed: https://savannah.gnu.org/bugs/?63431

* Remove old maintainer who has not been active

Signed-off-by: Hannu Nyman <hannu.nyman@iki.fi>

Merge pull request #19973 from julienmalik/borg

borgbackup: initial commit

snort3: update to 3.1.47.0-1

Build system: x86_64
Build-tested: bcm2711/RPi4B
Run-tested: bcm2711/RPi4B

Signed-off-by: John Audia <therealgraysky@proton.me>

Merge pull request #19980 from mhei/php8-update-8.1.13

php8: update to 8.1.13

simple-adblock: bugfix: detect dnsmasq ipset support

* Fixes https://github.com/openwrt/packages/issues/19978, thank you
  @parona-source for the report/patch!

Signed-off-by: Stan Grishin <stangri@melmac.ca>

https-dns-proxy: improve performance on restart

* instead of doing stop/start which involves restarting dnsmasq twice,
  kill the existing service instances on restart instead

Signed-off-by: Stan Grishin <stangri@melmac.ca>

v2raya: backports upstream fixes and add 3 new options

It may take a long time waiting for a new tag, so backport these
important bug fixes for now.

While at it, added 3 new options provided by upstream, and deprecated
the usage of `$(AUTORELEASE)`.

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

v2ray-geodata: Update to latest version

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

xray-core: Update to 1.6.5

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

yq: Update to 4.30.5

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>