Merge pull request #6124 from wigyori/for-15.05-freeradius2

CC: freeradius2: bump to 2.2.10

Merge pull request #6120 from wigyori/for-15.05-perl

CC: perl5: upgrade 3 CPAN packages to fix build

Merge pull request #6126 from wigyori/for-15.05-pcre_nginx

CC: pcre: bump to 8.41 and fix CVEs

freeradius2: bump to 2.2.10

 - Fix multiple security issues. See http://freeradius.org/security/fuzzer-2017.html Thanks to Guido Vranken for working with us to discover the issues and test the fixes.
 - FR-GV-207 Avoid zero-length malloc() in data2vp().
 - FR-GV-206 correct decoding of option 60.
 - FR-GV-205 check for "too long" WiMAX options.
 - FR-GV-204 free VP if decoding fails, so we don't leak memory.
 - FR-GV-203 fix memory leak when using decode_tlv().
 - FR-GV-202 check for "too long" attributes.
 - FR-GV-201 check input/output length in make_secret().
 - FR-AD-001 Use strncmp() instead of memcmp() for bounded data.
 - Disable in-memory TLS session caches due to OpenSSL API issues.
 - Allow issuer_cert to be empty.
 - Look for extensions using correct index.
 - Fix types.
 - Work around OpenSSL 1.0.2 problems, which cause failures in TLS-based EAP methods.
 - Revert RedHat contributed bug which removes run-time checks for OpenSSL consistency.
 - Allow OCSP responder URL to be later in the packet Fix by Ean Pasternak.
 - Catch empty subject and non-existent issuer cert in OCSP Fix by Ean Pasternak.
 - Allow non-FIPS for MD5 Fix by Ean Pasternak.

Signed-off-by: Zoltan HERPAI <wigyori@uid0.hu>

freeradius2: update to version 2.2.9

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

pcre: Added fix for CVE-2017-11164 by adding stack recursion limit

Signed-off-by: Thomas Heil <heil@terminal-consulting.de>

pcre: upgrade to version 8.41 - fixes security issues

Signed-off-by: Thomas Heil <heil@terminal-consulting.de>

fix CVE-2017-7186 Fix CVE-2017-7186 mentioned in https://bugs.exim.org/show_bug.cgi?id=2052

Signed-off-by: Thomas Heil <heil@terminal-consulting.de>

package: pcre bump to version 8.40

Signed-off-by: heil <heil@terminal-consulting.de>

perl-uri: bump to 1.74

Signed-off-by: Zoltan HERPAI <wigyori@uid0.hu>

perl-html-parser: bump to 3.72

Signed-off-by: Zoltan HERPAI <wigyori@uid0.hu>

perl-dbi: bump to 1.641

Signed-off-by: Zoltan HERPAI <wigyori@uid0.hu>

Merge pull request #5542 from micmac1/jiri-for-15.05

libssh2, libxslt, tiff: security bumps (for 15.05)

tiff: version bump to address open CVEs

- Bumps version to 4.0.9. Otherwise about two dozen packages would need
  to be backported. There were no ABI/API changes between 4.0.3 and
  4.0.9, so this is OK.
- Adds a patch from Jow that addresses a macro issue (already in
  master/lede-17.01)
- Adds patches copied from Debian for CVE-2017-18013 and CVE-2017-9935
  on top.

Signed-off-by: Sebastian Kemper <sebastian_ml@gmx.net>

libxslt: revision bump to address open CVEs

- Add patches copied from Debian to address open CVEs
- Update mail address of maintainer
- Fix a typo
- Add --disable-silent-rules for verbose build output

Signed-off-by: Sebastian Kemper <sebastian_ml@gmx.net>

libssh2: revision bump to fix CVE-2016-0787

- adds patch copied from Debian to address CVE
- fixes zlib detection
- changes http to https links
- updates maintainer's mail address

Signed-off-by: Sebastian Kemper <sebastian_ml@gmx.net>

Merge pull request #5084 from wigyori/for-15.05-irssi

CC: net/irssi: upgrade irssi, update download URL

Merge pull request #5102 from wigyori/for-15.05-xupnpd

CC: multimedia/xupnpd: move download source and upgrade to 2016-07-06

Merge pull request #5151 from wigyori/for-15.05-bluez

CC: bluez: upgrade to 5.47

Merge pull request #5114 from wigyori/for-15.05-squid

CC: squid: upgrade to 3.5.27

Merge pull request #5233 from wigyori/for-15.05-bind

CC: bind: bump to 9.11.2

bind: bring back PKG_MD5SUM for CC

Signed-off-by: Zoltan HERPAI <wigyori@uid0.hu>

bind: version update to 9.11.2

Also refresh patches and dependencies.

Signed-off-by: Philip Prindeville <philipp@redfish-solutions.com>

bind: Update to 9.10.5-P3

New upstream release includes fixes for the following security issues:

 * CVE-2017-3140: With certain RPZ configurations, a response with TTL 0 could
   cause named to go into an infinite query loop
 * CVE-2017-3142: An error in TSIG handling could permit unauthorized zone
   transfers or zone updates.
 * CVE-2017-3143: An error in TSIG handling could permit unauthorized zone
   transfers or zone updates.

Signed-off-by: Noah Meyerhans <frodo@morgul.net>

bind: Include dnssec-settime in bind-dnssec/tool

<net/bind>

Maintainer: @nmeyerhans
Compile tested: x86_64, OpenWRT 50107
Run tested: x86 / 64, OpenWRT 50107

Description:

Added dnssec-settime into bind-dnssec and bind-tools

Signed-off-by: Sami Olmari <sami+git@olmari.fi>

bind: Update to bind-9.10.5

This change includes fixes for several security issues:

  * CVE-2017-3138: rndc "" could trigger an assertion failure in named.
  * CVE-2017-3137: Some chaining (i.e., type CNAME or DNAME) responses to
    upstream queries could trigger assertion failures.
  * CVE-2017-3136: dns64 with break-dnssec yes; can result in an assertion
    failure.
  * CVE-2017-3135: If a server is configured with a response policy zone
    (RPZ) that rewrites an answer with local data, and is also configured
    for DNS64 address mapping, a NULL pointer can be read triggering a
    server crash.
  * CVE-2016-9444: named could mishandle authority sections with missing
    RRSIGs, triggering an assertion failure.
  * CVE-2016-9131: named mishandled some responses where covering RRSIG
    records were returned without the requested data, resulting in an
    assertion failure.
  * CVE-2016-9131: named incorrectly tried to cache TKEY records which could
    trigger an assertion failure when there was a class mismatch.
  * CVE-2016-8864: It was possible to trigger assertions when processing
    responses containing answers of type DNAME.
  * CVE-2016-6170: Added the ability to specify the maximum number of
    records permitted in a zone (max-records #;). This provides a mechanism
    to block overly large zone transfers, which is a potential risk with
    slave zones from other parties.
  * CVE-2016-2776: It was possible to trigger an assertion when rendering a
    message using a specially crafted request.
  * CVE-2016-2775: Calling getrrsetbyname() with a non absolute name could
    trigger an infinite recursion bug in lwresd or named with lwres
    configured if, when combined with a search list entry from resolv.conf,
    the resulting name is too long.

Signed-off-by: Noah Meyerhans <frodo@morgul.net>

bind: update to bind-9.10.4-P5

This change fixes multiple denial-of-service vulnerabilities:
 * CVE-2016-9131: A malformed response to an ANY query can cause an
   assertion failure during recursion
 * CVE-2016-9147: An error handling a query response containing
   inconsistent DNSSEC information could cause an assertion failure
 * CVE-2016-9444: An unusually-formed DS record response could cause
   an assertion failure
 * CVE-2016-9778: An error handling certain queries using the
   nxdomain-redirect feature could cause a REQUIRE assertion failure
   in db.c

Signed-off-by: Noah Meyerhans <frodo@morgul.net>

bind: disable libjson support

If libjson-c is detected during bind-libs configure phase, bind-libs
will be built with libjson support. This results in a missing dependency
error during install phase. Solve this by disabling libjson support.

bind: set sysconfdir to /etc/bind

Signed-off-by: Noah Meyerhans <frodo@morgul.net>

Merge pull request #5081 from wigyori/for-15.05-mxml3

CC: upgrade mxml, update download URL

Merge pull request #5103 from wigyori/for-15.05-wifidog

CC: wifidog: upgrade to 1.3.0 to fix build

bluez: bump to 5.47 fix CVE-2017-1000250

http://www.bluez.org/release-of-bluez-5-47/

Signed-off-by: Hirokazu MORIKAWA <morikw2@gmail.com>

bluez: update to v5.38

Fixes https://github.com/openwrt/packages/issues/2523
Closes https://github.com/openwrt/packages/pull/2545

Signed-off-by: Álvaro Fernández Rojas <noltari@gmail.com>

bluez: Add support for Raspberry Pi 3

- Adds bcm43xx-3wire variant.
- Resets UART speed after firmware download.
- Prints chip name when firmware isn't found for bcm43xx.
- Increases timeout for bcm43xx.
- Moves bcm43xx firmware to lib.

Signed-off-by: Álvaro Fernández Rojas <noltari@gmail.com>

bluez: update to v5.37

Signed-off-by: Álvaro Fernández Rojas <noltari@gmail.com>

bluez: update to version 5.33

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

bluez: update to version 5.31

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

bluez: add btmgmt tool

The btmgmt tool is needed to activate BL LE support.
Currently it is not installed.

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

bluez: Add bluez-daemon package

Move bluetoothd and related programs and files from bluez-utils into
bluez-daemon package. The main motivation for this is to remove the dependency
to DBus from bluez-utils. The utilities like "hcitool" are useful without it.

Also add kmod-bluetooth dependency to bluez-utils, as the utils don't make much
sense without bluetooth support in the kernel.

Signed-off-by: Bruno Randolf <br1@einfach.org>

Merge pull request #5086 from wigyori/for-15.05-fdm2

CC: mail/fdm: update download URL

Merge pull request #5099 from wigyori/for-15.05-taskwarrior

CC: utils/taskwarrior: upgrade to 2.4.4

Merge pull request #5095 from wigyori/for-15.05-perl

CC: upgrade a couple perl packages

Merge pull request #5101 from wigyori/for-15.05-tor

CC: net/tor: fix build and upgrade to 0.2.9.11

Merge pull request #5108 from wigyori/for-15.05-php

CC: php: upgrade to 5.6.32
LGTM2, thanks.

Merge pull request #5111 from wigyori/for-15.05-nginx

CC: nginx: upgrade to 1.12.1

Merge pull request #5080 from wigyori/for-15.05

CC: update download URLs for various packages

Merge pull request #5078 from wigyori/for-15.05-neon

CC: upgrade libs/neon

Merge pull request #5094 from wigyori/for-15.05-pianod

CC: fix pianod build

squid: bump to 3.5.27

Bump Squid to version 3.5.27 and fix broken menuconfig menu.

Signed-off-by: Marko Ratkaj <marko.ratkaj@sartura.hr>

net/squid: Allow squid to parse mime.conf

Copy mime.conf to temporary directory so squid process can properly read the file. Without it squid cannot access mime.conf and throws a warning during startup.

Signed-off by: Adam Gensler <openwrt@a.gnslr.us>

Merge pull request #5098 from wigyori/for-15.05-stunnel

CC: net/stunnel: fix download source and upgrade

Merge pull request #5093 from wigyori/for-15.05-libupnpp

CC: upmpdcli/libupnpp upgrade

Merge pull request #5112 from wigyori/for-15.05-sshfs

CC: sshfs: upgrade to 2.10

sshfs: upgrade to 2.10

Signed-off-by: Zoltan HERPAI <wigyori@uid0.hu>

nginx: update lua-nginx to cdd2ae921f67bf396c743406493127be496e57ce
 - fixes lua compilation issue

Signed-off-by: Thomas Heil <heil@terminal-consulting.de>

nginx: update to 1.12.1
Fixes: CVE-2017-7529
remove PKG_MD5SUM as it is deprecated

Signed-off-by: Uwe Arnold <donvipre@gmail.com>

nginx: update to 1.12.0, the latest stable version

This is a straightforward update to the latest stable version.

Signed-off-by: Val Kulkov <val.kulkov@gmail.com>

nginx: update to 1.10.3, add new module options

Update nginx to version 1.10.3.

Add new configuration options to enable the following optional
modules (disabled by default):
   - http_auth_request_module
   - http_v2_module
   - http_realip_module
   - http_secure_link_module

Signed-off-by: Val Kulkov <val.kulkov@gmail.com>

nginx: bump version to latest stable 1.10.2

Signed-off-by: heil <heil@terminal-consulting.de>

nginx: Bumped nginx-naxsi to v0.54

Signed-off-by: Graham Fairweather <xotic750@gmail.com>

nginx: Bumped to v1.10.1
fixes NULL pointer dereference while writing client request body vulnerability (CVE-2016-4450).

Signed-off-by: Graham Fairweather <xotic750@gmail.com>

nginx: change start level to 80

Signed-off-by: Dirk Feytons <dirk.feytons@gmail.com>

nginx: correct f3c7cc6

Signed-off-by: Dirk Feytons <dirk.feytons@gmail.com>

nginx: correct errors from previous merge

Signed-off-by: heil <heil@terminal-consulting.de>

nginx: upstep to 1.10.0, add Lua module, footprint optimizations

Signed-off-by: Dirk Feytons <dirk.feytons@gmail.com>

nginx: bump to version 1.9.13

Signed-off-by: heil <heil@terminal-consulting.de>

nginx: add naxsi module

 - this brings back naxsi support aka WAF for nginx

Signed-off-by: heil <heil@terminal-consulting.de>

nginx: upstep to 1.9.9

Signed-off-by: Dirk Feytons <dirk.feytons@gmail.com>

nginx: bump to 1.9.6

In this bump as agreed with Thomas we are dropping out all the nginx 3rd party
addons. In case you would like to see your 3rd party addon included please send
a pull request and make sure it works with newest version.

Signed-off-by: Luka Perkov <luka@openwrt.org>

nginx: add support for SPNEGO authentication

This adds a module suitable for Kerberos SSO, e.g. for integrating
into Active Directory domains.

Signed-off-by: Paul Fertser <fercerpav@gmail.com>

nginx: fix musl compatibility

 - include Patches according to issue #1129
 - refresh Makefile

Signed-off-by: heil <heil@terminal-consulting.de>

rtklib: fix repository and bump version (fixes #3212)

Signed-off-by: Nuno Goncalves <nunojpg@gmail.com>

rtklib: bump version to 2.4.2 p11, close #1624

Signed-off-by: Nuno Goncalves <nunojpg@gmail.com>

php5: bump to 5.6.32

Fixes since 5.6.26:
 - ton of bugs
 - CVE-2016-9933
 - CVE-2016-9934
 - CVE-2016-9935
 - CVE-2016-10158
 - CVE-2016-10167
 - CVE-2016-10168
 - CVE-2016-10159
 - CVE-2016-10160
 - CVE-2016-10161
 - CVE-2017-7890
 - CVE-2017-9224
 - CVE-2017-9226
 - CVE-2017-9227
 - CVE-2017-9228
 - CVE-2017-9229
 - CVE-2016-1283

Signed-off-by: Zoltan HERPAI <wigyori@uid0.hu>

php5: update to 5.6.26

This fixes the following CVEs:
 - in intl: CVE-2016-7416
 - in mysqlnd: CVE-2016-7412
 - in phar: CVE-2016-7414
 - in spl: CVE-2016-7417
 - in standard: CVS-2016-7411
 - in wddx: CVE-2016-7413, CVE-2016-7418

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

php5: update to 5.6.25

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

php5: update to 5.6.23

This fixes the following CVEs:
 - in GD: CVE-2015-8874, CVE-2016-5766, CVE-2016-5767
 - in mbstring: CVE-2016-5768
 - in mcrypt: CVE-2016-5769
 - in SPL: CVE-2016-5770, CVE-2016-5771
 - in WDDX: CVE-2016-5772
 - in zip: CVE-2016-5773

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

php5: update to 5.6.21

This fixes the following CVEs:
 - in BCMath: CVE-2016-4537, CVE-2016-4538
 - in EXIF: CVE-2016-4542, CVE-2016-4543, CVE-2016-4544
 - in GD: CVE-2016-3074
 - in Intl: CVE-2016-4540, CVE-2016-4541
 - in XML: CVE-2016-4539

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

php5: add mod_intl (resolves #2620)

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

php5: update to 5.6.19

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

php5: update to 5.6.18

Note: Upstream tagged this as security release.

Signed-off-by: Michael Heimpold <mhei@heimpold.de>

xupnpd: update to latest version

Signed-off-by: Álvaro Fernández Rojas <noltari@gmail.com>

xupnpd: Update to 2016-05-11

* Change source url to GitHub
* Update to 2016-05-11
* Add LICENSE
* Edit Makefile

Signed-off-by: Hsing-Wang Liao <kuoruan@gmail.com>
Signed-off-by: Álvaro Fernández Rojas <noltari@gmail.com>

wifidog: Bump to 1.3.0

* Updates wifidog to latest upstream release.
* Removes patches/100-musl-compat.patch as that's included in 1.3.0

Signed-off-by: Michael Haas <haas@computerlinguist.org>

wifidog: fix musl compatibility

 - Fix missing `fcntl.h` in `protocol.c`
 - Replace nonstandard `sys/unistd.h` includes with `unistd.h` ones

Signed-off-by: Jo-Philipp Wich <jow@openwrt.org>

Merge pull request #5100 from wigyori/for-15.05-tracertools

CC: tracertools: use new git HEAD

tracertools: use new git HEAD

gitorious archive became available, so I could import the project
history from there into the new repo on github. Rebasing the changes
made since 2014 on top of the original git tree obviously caused
the commit hashes to differ.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

tracertools: update source, fixes bug on little-endian systems

and improves collectd support

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

tracertools: update source

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

tor: update to version 0.2.9.11

This fixes CVE-2017-0376

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

tor: update to version 0.2.9.10

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

tor: update to version 0.2.9.9

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

tor: log to syslog by default

Make tor log to syslog by default instead of stdout.

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

tor: add tor-gencert, tor-resolve and torify

These are some additional applications build by the tor package.

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

tor: add geoip6 to tor-geoip

This add the IPv6 addresses to the tor-geoip6 package.

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

tor: preserve tor keys over sysupgrade

Mark the directories containing the keys for hidden services as
conffiles to preserve them over sysupgrade.

Fixes: #2247
Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

tor: update to version 0.2.9.8

In addition update some configure options and use EXTRA_CFLAGS.
Setting RunAsDaemon to 1 will be overwritten by the init script option
"--runasdaemon 0" anyway and we want it in foreground for procd.

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

tor: update to version 0.2.8.11

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

Tor: update to 0.2.8.9

    - update to 0.2.8.9
    - use sha256 instead of md5 for integrity check
    - add dependency: libcap

signed-off-by: Nima Fatemi <nima@torproject.org>

tor: add missing zlib dependency

Signed-off-by: Felix Fietkau <nbd@nbd.name>