Merge pull request #14024 from omoerbeek/auth-docs-modes-of-operation

auth docs: update primary/secondary terminology

Merge pull request #13819 from omoerbeek/rec-ta

rec: add Lua config to YAML settings

Merge pull request #14098 from PowerDNS/dependabot/github_actions/slsa-framework/slsa-github-generator-2.0.0

build(deps): bump slsa-framework/slsa-github-generator from 1.10.0 to 2.0.0

Merge pull request #14144 from romeroalx/fix-fork-runner-image-name

GH Actions: fix the repository where the runner images are pulled from

always pull runner image from powerdns for forks

build-packages: Update download-artifact to v4

Merge pull request #14125 from PowerDNS/dependabot/pip/pdns/dnsdistdist/docs/idna-3.7

build(deps): bump idna from 3.6 to 3.7 in /pdns/dnsdistdist/docs

Merge pull request #14130 from rgacogne/ddist-fix-updateio-h2

dnsdist: Fix TCP I/O timeout and callback being used for HTTP/2

Typo's in comments

Co-authored-by: Remi Gacogne <github@coredump.fr>

Explain two somewhat puzzling pieces of code in comments

Apply suggestions from code review

Co-authored-by: Remi Gacogne <github@coredump.fr>

Merge pull request #14118 from jap/patch-2

[trivial] improve readability of the list of affected versions in advisory-2024-02

Merge pull request #14112 from rgacogne/quiche-0.21.0

dnsdist: Update Quiche to 0.21.0

dnsdist: Simplify IncomingTCPConnectionState::updateIO()

As suggested by Otto.

Merge pull request #14139 from omoerbeek/rec-openbsd-iputils-followup

rec: followup to 14097: missed OpenBSD specfic case

Merge pull request #14131 from rgacogne/ddist-fix-sent-bytes-doh

dnsdist: Log the correct amount of bytes sent for DoH w/ nghttp2

rec: followup to 14097: missed OpenBSD specfic case

Merge pull request #14128 from rgacogne/ddist-nghttp2-ping

dnsdist: Reply to HTTP/2 PING frames immediately

Merge pull request #14097 from omoerbeek/tidy-iputils

Tidy iputils.hh and iputils.cc

remove struct so that clang-format does not insists laying out the var init over three lines.

Merge pull request #14138 from omoerbeek/rec-forw-docs

rec: fix two doc examples missing a colon

One more clang-tidy case that did not happen locally: add a cast

Formatting fixes

Extra tricky part: make_unique vs new

Tidy iputils.cc

First pass of tidy for iputils.hh

Format

rec: fix two doc examples missing a colon

fixes #14119

Merge pull request #14136 from sam-banks/master

Updated typo in DNSSEC intro documentation (ECSDA instead of ECDSA)

Updated typo in documentation (ECSDA instead of ECDSA)

dnsdist: Make `IncomingTCPConnectionState::updateIOForAsync`

dnsdist: Log the correct amount of bytes sent for DoH w/ nghttp2

dnsdist: Fix TCP I/O timeout and callback being used for HTTP/2

They were always replaced by the correct HTTP/2 ones anyway, but
it's a lot cleaner that way.

dnsdist: Reply to HTTP/2 PING frames immediately

We usually buffer a bit to avoid sending a lot of small data chunks
on the wire (or to the kernel anyway), but for `HTTP/2 PING` frames
that are not followed by anything else calling for a response, this
causes an issue as these frames are designed to measure the latency
between a client and a server, and are used by HTTP/2 proxies to
ensure that a connection can be reused.

Merge pull request #14021 from Habbie/auth-lua-join-whitespace

auth LUA: make whitespace insertion on chunk combine optional

Merge pull request #14036 from romeroalx/meson-auth-ci

GH Actions - Meson: Build auth using meson in `build-and-test-all`.

Merge pull request #14061 from romeroalx/ci-runner-image-branch

GH actions - build-and-test-all: parameterize workflow to run different docker runner versions

build(deps): bump idna from 3.6 to 3.7 in /pdns/dnsdistdist/docs

Bumps [idna](https://github.com/kjd/idna) from 3.6 to 3.7.
- [Release notes](https://github.com/kjd/idna/releases)
- [Changelog](https://github.com/kjd/idna/blob/master/HISTORY.rst)
- [Commits](https://github.com/kjd/idna/compare/v3.6...v3.7)

---
updated-dependencies:
- dependency-name: idna
  dependency-type: indirect
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge pull request #14085 from romeroalx/pip-doc-hashes

GH actions: check that only pinned pip packages are pulled when building docs

meson: enable systemd for auth-configure

simplify build-auth job

gh actions add meson build for auth

improve readability of affected versions in advisory 2024-02

dnsdist: Update Quiche to 0.21.0

Merge pull request #14078 from rgacogne/ddist-harvest-quic

dnsdist: Use the correct source IP for outgoing QUIC datagrams

Modify ZTC regression test to use YAML config

Better cross refs in docs, formatting

Make a isValidHostname() callable from Rust that calls into DNSName::is_hostname()

Tidy

Basic docs of YAML specs of original Lua config

Tweaks and handle trust anchors better

Add --config support and validation of a few fields

(re)load Lua config from either Lua or YAML

Show Lua config converted to YAML in rec_control show-yaml

Build active Lua config from data structure that can be supplied by either Lua or YAML

Convert YAML to Lua config, including full test

Use a C++ array for the well-known DS record(s)

YAML defs for all Lua config constructs, plus converting old-style to YAML

Move sortlist.?? to recursordist

Zap sortlist.?? symlinks, in preparation for move to recursordist

Tidy sortlist.??

Basic handling of YAML TAs and NTAs

Current code can convert Lua into YAML
Nothing is done yet with YAML if found

dsmap_t is actually a set, rename type and a few vars

Merge pull request #14076 from rgacogne/ddist-update-tuning-design-doc-for-doq-doh3

dnsdist: Update tuning/design documentation for DoQ and DoH3

Merge pull request #14104 from rgacogne/ddist-fix-abort-nghttp2_session_mem_recv

dnsdist: Fix a crash in incoming DoH with nghttp2

Merge pull request #14062 from franklouwers/patch-1

rec: Remove `current` from the extended error code binding descriptions

Merge pull request #14023 from omoerbeek/rec-proxy-physaddr

rec: add interface (not subject to proxy protocol substitutions) addresses in Lua DNSQuestion and corresponding FFI

Better wording in docs from @rgacogne

Co-authored-by: Remi Gacogne <github@coredump.fr>

dnsdist: Fix a crash in incoming DoH with nghttp2

This fixes an issue in the code dealing with incoming DNS over HTTPS
queries with the nghttp2 provider. In some rare cases, if the incoming
query is forwarded to the backend over TCP and the response comes back
immediately (the `read()` call done just after the `write()` call sending
the query must succeed and yield a complete response), the processing
of the response might end up calling `IncomingHTTP2Connection::readHTTPData()`
down the line, via the `nghttp2` callbacks, while we were already
inside this function. This does not actually work because
`nghttp2_session_mem_recv` is not reentrant, so the internal state of
the `nghttp2_session` object might become inconsistent and trigger
an assertion, for example:
```
nghttp2_session.c:6854: nghttp2_session_mem_recv2: Assertion `iframe->state == NGHTTP2_IB_IGN_ALL' failed.
```

This results in a call to `abort()` and very unlikely to be exploitable,
because there is no memory corruption occurring. It would also be quite
difficult for an attacker to trigger the conditions leading to this event
remotely.

Reported by Daniel Stirnimann from Switch and Stephane Bortzmeyer, many thanks to them.

Merge pull request #14102 from Habbie/2024-02-formatting

security advisory 2024-02: fix formatting

Merge pull request #14100 from Habbie/rec-cname-wc

rec: a name can be present already when building the cname chain

security advisory 2024-02: fix formatting

Merge pull request #14099 from Habbie/rec-prep-sec-2024-02

security advisory 2024-02+changelogs+secpoll

build(deps): bump slsa-framework/slsa-github-generator

Bumps [slsa-framework/slsa-github-generator](https://github.com/slsa-framework/slsa-github-generator) from 1.10.0 to 2.0.0.
- [Release notes](https://github.com/slsa-framework/slsa-github-generator/releases)
- [Changelog](https://github.com/slsa-framework/slsa-github-generator/blob/main/CHANGELOG.md)
- [Commits](https://github.com/slsa-framework/slsa-github-generator/compare/v1.10.0...v2.0.0)

---
updated-dependencies:
- dependency-name: slsa-framework/slsa-github-generator
  dependency-type: direct:production
  update-type: version-update:semver-major
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge pull request #14075 from romuald/backend-guide-clarification

Add clarification on backend writer guide

Merge pull request #14083 from rgacogne/fix-dnsdist-and-rec-home-dirs

dnsdist/rec: Change home directory to /var/lib/<product> on EL-based OSs

rec: Fix home directory location comment in the EL spec

dnsdist: Fix home directory location comment in the EL spec

Merge pull request #14037 from rgacogne/ddist-fix-odr

dnsdist: Fix "C++ One Definition Rule" warnings in XSK

Merge pull request #14070 from rgacogne/ddist-fix-dns-over-http-reload-all-certs

dnsdist: Fix DNS over plain HTTP broken by `reloadAllCertificates()`

Better wording

Co-authored-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #14049 from omoerbeek/rec-no-count-unsup-algos

rec: do not count RRSIGs using unsupported algorithms towards RRSIGs limit

gh actions: add scm and pbr to the spell-check allowed words

gh actions: check pip packages pulling when building docs

add pip pinning for dnsdist docs

add pip pinning for recursor docs

update list of pip packages pulled when building auth docs

Merge pull request #13772 from mortenstevens/patch-1

Change home directory to /var/lib/pdns

Merge pull request #14068 from omoerbeek/meson-libdecaf-followup

meson: don't assume libdecaf is present when declaring dependency

Prep for Security Advisory 2024-02

rec: Change home directory to /var/lib/pdns-recursor on EL-based OSs

dnsdist: Change home directory to /var/lib/dnsdist on EL-based OSs

auth: Remove trailing tab in builder-support/specs/pdns.spec

dnsdist: Fix clang-tidy warnings

dnsdist: Add regression for destination address harvesting with QUIC

dnsdist: Use the correct source IP for outgoing QUIC datagrams

And expose the correct destination IP to Lua.

dnsdist: Update tuning/design documentation for DoQ and DoH3

Add clarification on backend writer guide

For `getBeforeAndAfterNamesAbsolute()`, in case of proof of non
existence for a type (and not the name), the requested name should be
returned, **not** the name before it.

dnsdist: Fix DNS over plain HTTP broken by `reloadAllCertificates()`

This was introduced in 1.9.0, with the use of the `nghttp2` library
for incoming DNS over HTTP(S).

Merge pull request #14066 from PowerDNS/dependabot/pip/regression-tests.ixfrdist/dnspython-2.6.1

build(deps): bump dnspython from 2.1.0 to 2.6.1 in /regression-tests.ixfrdist