Merge pull request #19616 from TDT-AG/pr/20221022-mwan3

mwan3: update to version 2.11.3

keepalived-sync: switch from busybox-timeout to coreutils-timeout

So that the busybox configuration does not have to be adapted, the
dependency has been changed to coreutils-timeout, which provides the
same functionality.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

Merge pull request #19628 from paper42/ddns-scripts-fix-cloudflare-provides

ddns-scripts: fix cloudflare&digitalocean provides

ddns-scripts: fix cloudflare&digitalocean provides

Fixes mistake in dbe79e409d4d772d607364b47116a108508bb466, the
cloudflare PROVIDES got mixed up with digitalocean.

Signed-off-by: Michal Vasilek <michal.vasilek@nic.cz>

Merge pull request #19597 from paper42/ddns-scripts-rename-provides

ddns-scripts: add PROVIDES for old package names

Merge pull request #19586 from stangri/master-nebula

nebula: implement netifd support

mwan3: update to 2.11.3

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

mwan3: only send disconnected event if interface was connected before

Up to now on every interface down event a mwan3 disconnected event was
send. This is wrong because if the interface was never connected, then a
disconnected event should not get generated. This commit fixes this bug.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

mwan3: change log message on already added route

Only show message on already set route, if debugging is enabled.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

Merge pull request #19374 from jempatel/improve_keepalived-uci-sync

keepalived: high-availability files and data sync

Merge pull request #19611 from stangri/master-https-dns-proxy

https-dns-proxy: upstream bugfix for ca_info

Merge pull request #19614 from mhei/libxml2-update-2.10.3

libxml2: update to 2.10.3

Merge pull request #19606 from Gingernut1978/samba4

samba4: change perl dependency to fix menuconfig

Merge pull request #18709 from paper42/tailscale-version

tailscale: fix --version

libksba: update to version 1.6.2

Noteworthy changes in version 1.6.2 (2022-10-07) [C22/A14/R2]
------------------------------------------------

 * Fix integer overflow in the CRL parser.  [rK4b7d9cd4a0]

Release-info: https://dev.gnupg.org/T6230

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

auc: update to version 0.3.2

 * fixes segfault when requesting downgrade

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

libxml2: update to 2.10.3

This fixes:
    - CVE-2022-40303
    - CVE-2022-40304

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

https-dns-proxy: upstream bugfix for ca_info

* upstream bugfix: Add a forgotten 'NULL' initialize for ca_info
  if not manually set
* make init script PKG_VERSION variable readonly so that a
  shellcheck excettion can be removed
* add procd interface trigger to 'wan6' if IPv6 wan interface name
  cannot be obtained on start

Signed-off-by: Stan Grishin <stangri@melmac.ca>

samba4: change perl dependency to fix menuconfig

Adding perlbase-json-pp to samba4-libs dependencies was the wrong approach and caused
samba packages not to be offered by menuconfig. AFAIK perlbase-json-pp is a perl helper
to building samba4 and seems to be already included in perl/host so use that instead to
fix the menuconfig issues.

Signed-off-by: Andrew Sim <andrewsimz@gmail.com>

Revert "wget: update to 1.21.3"

With the newer wget version, wget-nossl can not be compiled due to
missing library, so let's revert it.

Package wget-nossl is missing dependencies for the following libraries:
libnettle.so.8

This reverts commit 5075f5b7010617ba916f251b418ef7c79b760b0a.

Signed-off-by: Josef Schlehofer <pepe.schlehofer@gmail.com>

nebula: implement netifd support

This commit contains the following:
* Update binary to version 1.6.1
* Update README URLs in the Makefile to link OpenWrt-specific info
* Separate the binary, the init script and netifd script into 3 packages:
  nebula, nebula-service and nebula-proto accordingly
* implement yml parser for init script to fetch variables from it
* add the netifd script for nebula protocol
* update test file to address all built packages
* make the PKG_VERSION variable of init/proto scripts readonly

Signed-off-by: Stan Grishin <stangri@melmac.ca>

auc: update to 0.3.1

Remove wrongly placed 'break' statement to actually jump to the most
recent version of a release branch.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

Merge pull request #19577 from PolynomialDivision/update-wget-1-21-3

wget: update to 1.21.3

auc: update to version 0.3.0

Most notably this brings support for processing package changes such
as suggesting to replace firewall with firewall4 when updating from
21.02.x -> 22.03.y release.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

keepalived: high-availability files and data sync

add new package keepalived-sync to synchronize files and data
between master and backup node. The master node uses SSH over rsync
to send and the backup node will use inotifywatch to watch received files.

The master node can track rsync.sh script to send configuration file on
a backup node based on the vrrp_script configuration of the same script.

The backup node will have a keepalived-inotify service, which would watch
for newly received files and it would call hotplug event. Each service
can keep its respective script under the keepalived hotplug directory and
executes commands to stop, start service or update any config in real-time.

Whenever a switchover will happen, the backup node would have the latest
config and data files from the master node.

Hotplug events can be used to apply config when files are received.

Signed-off-by: Jaymin Patel <jem.patel@gmail.com>

wget: update to 1.21.3

Release Notes:
https://lists.gnu.org/archive/html/info-gnu/2022-02/msg00017.html

Remove the patch "100-fix-sts-time". This patch was replaced upstream by
several other fixes, see:
https://git.savannah.gnu.org/cgit/wget.git/log/src/hsts.c

Signed-off-by: Nick Hainke <vincent@systemli.org>

tailscale: add version tests

Signed-off-by: Michal Vasilek <michal.vasilek@nic.cz>

tailscale: fix -version

tailscale version, tailscaled -version and the web UI reported the wrong
version number which doesn't cause any issues, but it can be confusing.

This is fixed by specifying the version in go ldflags similar to how
it's done in many other go packages and the official tailscale Dockerfile.

version.Long version can not be specified in GO_PKG_LDFLAGS_X because it
contains a space and GO_PKG_LDFLAGS_X is always split at a space.

Signed-off-by: Michal Vasilek <michal.vasilek@nic.cz>

ddns-scripts: add PROVIDES for old package names

* ddns-scripts-services: provide ddns-scripts_service
* ddns-scripts-cloudflare: provide ddns-scripts_digitalocean.com-v2
* ddns-scripts-freedns: provide ddns-scripts_freedns_42_pl
* ddns-scripts-godaddy: provide ddns-scripts_godaddy.com-v1
* ddns-scripts-noip: provide ddns-scripts_no-ip_com
* ddns-scripts-nsupdate: provide ddns-scripts_nsupdate
* ddns-scripts-route53: provide ddns-scripts_route53-v1
* ddns-scripts-cnkuai: provide ddns-scripts_cnkuai_cn

https://github.com/openwrt/packages/pull/13509 renamed many ddns-scripts
packages, but didn't include a PROVIDES for the old package names to
make updates work well.

Signed-off-by: Michal Vasilek <michal.vasilek@nic.cz>

Merge pull request #19588 from pymumu/master

smartdns: update to 1.2022.38.1

smartdns: update to 1.2022.38.1

Signed-off-by: Nick Peng <pymumu@gmail.com>

Merge pull request #19574 from Gingernut1978/arp-scan

arp-scan: update to latest 1.9.8

arp-scan: update to latest 1.9.8 release

Maintainer: Sergey Urushkin urusha.v1.0@gmail.com

Compile tested: mediatek:mt7622
Run tested: mediatek:mt7622

Signed-off-by: Andrew Sim <andrewsimz@gmail.com>

django-restframework: bump to version 3.14.0

Signed-off-by: Alexandru Ardelean <ardeleanalex@gmail.com>

Merge pull request #19584 from paper42/python3-update-master

python3: update to 3.10.7

xz: update to 5.2.7

Update to latest version. No release notes available.

Signed-off-by: Nick Hainke <vincent@systemli.org>

python3: update to 3.10.7

* fixes CVE-2021-28861
* adjust pip and setuptools versions
* refresh patches

Signed-off-by: Michal Vasilek <michal.vasilek@nic.cz>

Merge pull request #19582 from TDT-AG/pr/20221022-stunnel

stunnel: update version to 5.66

stunnel: update version to 5.66

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

Merge pull request #19579 from ynezz/upstream/fix-curl-wolfssl

curl: error out if wolfSSL is not usable

curl: error out if wolfSSL is not usable

When we explicitly declare, that we would like to have curl built with
wolfSSL support using `--with-wolfssl` configure option, then we should
make sure, that we either endup with curl having that support, or it
shouldn't be available at all, otherwise we risk, that we end up with
regressions like following:

  configure:25299: checking for wolfSSL_Init in -lwolfssl
  configure:25321: x86_64-openwrt-linux-musl-gcc -o conftest [snip]
  In file included from target-x86_64_musl/usr/include/wolfssl/wolfcrypt/dsa.h:33,
                   from target-x86_64_musl/usr/include/wolfssl/wolfcrypt/asn_public.h:35,
                  from target-x86_64_musl/usr/include/wolfssl/ssl.h:35,
                   from conftest.c:47:
  target-x86_64_musl/usr/include/wolfssl/wolfcrypt/integer.h:37:14: fatal error: wolfssl/wolfcrypt/sp_int.h: No such file or directory
       #include <wolfssl/wolfcrypt/sp_int.h>
                ^~~~~~~~~~~~~~~~~~~~~~~~~~~~
  compilation terminated.

and in the end thus produce curl without https support:

 curl: (1) Protocol "https" not supported or disabled in libcurl

So fix it, by making the working wolfSSL mandatory and error out in
configure step when that's not the case:

 checking for wolfSSL_Init in -lwolfssl... no
 configure: error: --with-wolfssl but wolfSSL was not found or doesn't work

References: #19005, #19547
Upstream-Status: Accepted [https://github.com/curl/curl/pull/9682]
Signed-off-by: Petr Štetiar <ynezz@true.cz>

unbound: update control cert uci processing

Signed-off-by: Rob Ekl <ekl.rob@gmail.com>

Merge pull request #19564 from PolynomialDivision/update-gnutls-3-7-8

gnutls: update to 3.7.8

Merge pull request #19451 from graysky2/rsyncfix

rsync: incorporate upstream fixes

Merge pull request #19538 from mhei/libzip-update-1.9.2

libzip: update to 1.9.2

Merge pull request #19546 from PolynomialDivision/update-iperf3

iperf3: update to 3.12

Merge pull request #19535 from qweaszxcdf/patch-3

rrdtool: update PKG_SOURCE_URL

Merge pull request #19554 from commodo/numpy

numpy: bump to version 1.23.3

Merge pull request #19552 from commodo/python-pytz

python3-pytz: bump to version 2022.4

gnutls: update to 3.7.8

Release Notes:
https://lists.gnupg.org/pipermail/gnutls-help/2022-September/004765.html

Signed-off-by: Nick Hainke <vincent@systemli.org>

cloudflared: Update to 2022.10.0

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

yq: Update to 4.28.1

Signed-off-by: Tianling Shen <cnsztl@immortalwrt.org>

cpusage: add new package

This PR adds the new package "cpusage" to OpenWrt packages.
Cpusage is a small utility that prints cpu usage per second as output.

Signed-off-by: Thomas Huehn <thomas.huehn@hs-nordhausen.de>

Merge pull request #19529 from blocktrron/qcsuper

qcsuper: add Package w/ necessary dependencies

Merge pull request #19543 from stangri/master-https-dns-proxy

https-dns-proxy: update to 2022-08-12-1

numpy: bump to version 1.23.3

Also bump Cython version to 0.29.32

And yeeeey: zip -> tar.gz

And they fixed the Intel AVX extension stuff/detection.
Which is why I deferred updating it until now.

Signed-off-by: Alexandru Ardelean <ardeleanalex@gmail.com>

samba4: remove duplicate entry from libldb-fix-musl-libc-unkown-type-error.patch

Signed-off-by: Andrew Sim <andrewsimz@gmail.com>

samba4: update to 4.17.0

Signed-off-by: Andrew Sim <andrewsimz@gmail.com>

iperf3: update to 3.12

Release Notes:
https://groups.google.com/g/iperf-dev/c/_DgSWrpl9Gk?pli=1

Signed-off-by: Nick Hainke <vincent@systemli.org>

Merge pull request #19486 from TELUS-BBA/zabbix_ssl

zabbix: add variants for SSL support

python3-pytz: bump to version 2022.4

Signed-off-by: Alexandru Ardelean <ardeleanalex@gmail.com>

Merge pull request #19453 from commodo/stress-ng

stress-ng: bump to version 0.14.05

stress-ng: bump to version 0.14.06

no longer needed: 010-dont_define_fortify.patch
upstreamed: 020-stress-sysinval-fix-fstat-fstat64-compat-check.patch

Signed-off-by: Alexandru Ardelean <ardeleanalex@gmail.com>

https-dns-proxy: update to 2022-08-12-1

* update to upstream version 2022-08-12
* add ca_certs_file option for CA certs file for curl
* add procd_add_interface_trigger for wan6 (hopefully fixes
  https://github.com/openwrt/packages/issues/19531)

Signed-off-by: Stan Grishin <stangri@melmac.ca>

snowflake: update to version 2.3.1

 03b2b56f Fix broker race condition
 36f03dfd Record proxy type for proxy relay stats

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

perl-net-dns: update to version 1.35

**** 1.35 Oct 4, 2022

    Improve SVCB error reporting.

Fix rt.cpan.org #144328
    accept_reply test fails with matched consecutive "random"
    generated packet->id

Fix rt.cpan.org #144299
    Spelling errors.

**** 1.34 May 30, 2022

    Improve robustness of EDNS option compose/decompose functions.
    Simplify code in Makefile.PL.

Fix rt.cpan.org #142426
    Avoid "Useless use of a constant in void context" warning.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

pcsc-lite: update to verion 1.9.9

 1.9.9: Ludovic Rousseau
 11 September 2022
  - SCardEstablishContext() may return SCARD_W_SECURITY_VIOLATION if refused by Polkit
  - Fix SCardReleaseContext() failure on orphan handles
  - Fix SCardDisconnect() on orphan handle
  - pcsc-spy: log the pioSendPci & pioRecvPci SCardTransmit() parameters
  - Improve the log from pcscd: log the return code in text instead of hex
  - Some other minor improvements

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

gawk: update to version 5.2.0

For changes see ChangeLog file[1].

[1]: https://git.savannah.gnu.org/cgit/gawk.git/plain/ChangeLog?h=gawk-5.2.0
Signed-off-by: Daniel Golle <daniel@makrotopia.org>

libksba: update to version 1.6.1

Update to stable release 1.6.1.
See commit log since version 1.6.0 for changes[1].

[1]: https://git.gnupg.org/cgi-bin/gitweb.cgi?p=libksba.git;a=shortlog;h=d3c1e063d708a46ef39152256f8b1ea466b61be0
Signed-off-by: Daniel Golle <daniel@makrotopia.org>

gnunnet: halt build if any command fails

There are many places in the packages' install recipes whith multiple
commands being executed in the same shell invocation, separated with a
semicolon (;).  The return status will depend only on the last command
being run.  The same thing happens in loops, where only the last file
will determine the result of the command.

Change the ';' to '&&', and exit the loop if any operation fails.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

gnunnet: don't copy non-existing files

There are six places pointing to files that do not exist any more:
 - gns-import.sh in package gnunet-gns (dropped in v0.11.0)
 - libgnunetdnsstub.so* in gnunet-vpn (integrated into util in v0.11.0)
 - libgnunettun.so* in gnunet-vpn (integrated into util in v0.11.0)
 - gnunet-service-ats-new in package gnunet (dropped in v0.12.0)
 - libgnunetreclaimattribute.so.* (integrated into reclaim in v0.13.0)
 - libgnunetabe.so.* in gnunet-reclaim (dropped in v0.17.2)

They were not noticed because their failing copy commands were part of
loops in which only the last operation had its exit status checked.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

gnunet: gnunet-rest: add libjose dependency

According to the package's configure.ac, reclaimID OpenID Connect plugin
depends on jose.  It is installed by the gnunet-rest plugin package:
libgnunnetrest_openid_connect.so.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

libzip: update to 1.9.2

Also drop already mainlined patch.

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

acme: remove help info of unused command

Signed-off-by: Glen Huang <i@glenhuang.com>

acme: fix acmesh dnsapi dependencies

Signed-off-by: Glen Huang <i@glenhuang.com>

zabbix: add variants for SSL support
opkg does not offer ssl varients:
zabbix-agentd
zabbix-sender
zabbix-get
zabbix-proxy
zabbix-server

resolve this by adding ssl varients.

Signed-off-by: Scott Roberts <ttocsr@gmail.com>

Merge pull request #19476 from TDT-AG/pr/20220928-lcd4linux

lcd4linux: minor init improvments

qcsuper: add package

Signed-off-by: David Bauer <mail@david-bauer.net>

python-pycrate: add package

Signed-off-by: David Bauer <mail@david-bauer.net>

python-crcmod: add package

Signed-off-by: David Bauer <mail@david-bauer.net>

Merge pull request #19372 from cotequeiroz/libgd

libgd: avoid recursive and redundant dependencies

django: bump to version 4.1.1

Signed-off-by: Alexandru Ardelean <ardeleanalex@gmail.com>

Merge pull request #19534 from mhei/php8-pecl-http-update-4.2.3

php8-pecl-http: update to 4.2.3

Merge pull request #19532 from pprindeville/isc-dhcp-drop-gratuitous-named-reload

isc-dhcp: avoid gratuitous reload of named

node: bump to v16.17.1

The following CVEs are fixed in this release:
* CVE-2022-32212: DNS rebinding in --inspect on macOS (High)
    * Insufficient fix for macOS devices on v18.5.0
* CVE-2022-32222: Node 18 reads openssl.cnf from /home/iojs/build/ upon startup on MacOS (Medium)
* CVE-2022-32213: HTTP Request Smuggling - Flawed Parsing of Transfer-Encoding (Medium)
    * Insufficient fix on v18.5.0
* CVE-2022-32215: HTTP Request Smuggling - Incorrect Parsing of Multi-line Transfer-Encoding (Medium)
    * Insufficient fix on v18.5.0
* CVE-2022-35256: HTTP Request Smuggling - Incorrect Parsing of Header Fields (Medium)
* CVE-2022-35255: Weak randomness in WebCrypto keygen
More detailed information on each of the vulnerabilities can be found in September 22nd 2022 Security Releases blog post.

llhttp updated to 6.0.10
llhttp is updated to 6.0.10 which includes fixes for the following vulnerabilities.
* HTTP Request Smuggling - CVE-2022-32213 bypass via obs-fold mechanic (Medium)(CVE-2022-32213 ): The llhttp parser in the http module does not correctly parse and validate Transfer-Encoding headers. This can lead to HTTP Request Smuggling (HRS).
* HTTP Request Smuggling - Incorrect Parsing of Multi-line Transfer-Encoding (Medium)(CVE-2022-32215): The llhttp parser in the http module does not correctly handle multi-line Transfer-Encoding headers. This can lead to HTTP Request Smuggling (HRS).
* HTTP Request Smuggling - Incorrect Parsing of Header Fields (Medium)(CVE-35256): The llhttp parser in the http does not correctly handle header fields that are not terminated with CLRF. This can lead to HTTP Request Smuggling (HRS).

Signed-off-by: Hirokazu MORIKAWA <morikw2@gmail.com>

lighttpd: remove deprecated modules

Signed-off-by: Glenn Strauss <gstrauss@gluelogic.com>

rrdtool: update PKG_SOURCE_URL

Signed-off-by: Ryan Shi <qweaszxcdf@users.noreply.github.com>

php8-pecl-http: update to 4.2.3

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

isc-dhcp: avoid gratuitous reload of named

Signed-off-by: Philip Prindeville <philipp@redfish-solutions.com>

Merge pull request #19520 from dyarkovoy/master

mwan3: support offload routing modifier

mwan3: support offload routing modifier

Signed-off-by: Denys Yarkovyi <dyarkovoy@gmail.com>

Merge pull request #19527 from stangri/master-https-dns-proxy

https-dns-proxy: add settings for canary domains

https-dns-proxy: add settings for canary domains

* add setting to enable/disable blocking access to iCloud Private Relay resolvers
* add setting to enable/disable blocking access to Mozilla resolvers
* rename variables loaded from config in the init script

Signed-off-by: Stan Grishin <stangri@melmac.ca>

Merge pull request #19525 from stangri/master-https-dns-proxy

https-dns-proxy: bugfix: prevent canary domains duplicates

https-dns-proxy: bugfix: prevent canary domains duplicates

Signed-off-by: Stan Grishin <stangri@melmac.ca>

treewide: fix security issues by bumping all packages using libwolfssl

As wolfSSL is having hard time maintaining ABI compatibility between
releases, we need to manually force rebuild of packages depending on
libwolfssl and thus force their upgrade. Otherwise due to the ABI
handling we would endup with possibly two libwolfssl libraries in the
system, including the patched libwolfssl-5.5.1, but still have
vulnerable services running using the vulnerable libwolfssl-5.4.0.

So in order to propagate update of libwolfssl to latest stable release
done in commit ec8fb542ec3e4 ("wolfssl: fix TLSv1.3 RCE in uhttpd by
using 5.5.1-stable (CVE-2022-39173)") which fixes several remotely
exploitable vulnerabilities, we need to bump PKG_RELEASE of all packages
using wolfSSL library.

Same bump has been done in buildroot in commit f1b7e1434f66 ("treewide:
fix security issues by bumping all packages using libwolfssl").

Signed-off-by: Petr Štetiar <ynezz@true.cz>

lcd4linux: add debug option

Setting the DEBUG variable in the init script to '1' enables the
lcd4linux verbose mode, by setting the arg '-vv'. The option also
redirects the error and stdout to the syslog.

Signed-off-by: Florian Eckert <fe@dev.tdt.de>

Merge pull request #19512 from mhei/php8-update-8.1.11

php8: update to 8.1.11

Merge pull request #19501 from stangri/master-simple-adblock

simple-adblock: allow domains bugfix & canary domains support

expat: update to 2.4.9

Fixes CVE-2022-40674.

Release Notes:
- https://github.com/libexpat/libexpat/blob/R_2_4_8/expat/Changes
- https://github.com/libexpat/libexpat/blob/R_2_4_9/expat/Changes

Signed-off-by: Nick Hainke <vincent@systemli.org>