xtables-addons: New package.

The xtables-addons package provides many additional filter modules for iptables.
Currently we are only building the "geoip" module which can be used to create
firewall rules which will do actions based on the country membership of the senders/targets
address.

In order to build the required kernel modules I had to change build order for
several packages as well.

perl-Text-CSV_XS: New package.

This perl module is required to convert the provided geoip databases in CSV format into
a useable binary format for the geoip module.

perl-Locale-Country: Update country codes to version 3.33.

perl-Text-CSV_XS: New package.

This is a dependency for the xtables-geoip module to convert the only in the cvs
provided geoip list into a compatible binary format.

rootfile updates (kernel, glibc, newt on arm).

kernel: rootfile updates.

linux-initrd: skip initrd build of pae and rpi kernel.

samba: fix mode of winbindd_privileged folder.

remove more enused patches.

kenrel: fix build 2nd try.

kernel: fix build.

kernel: headers still not build with grsec patch on i586.

Merge branch 'seventeen' of git.ipfire.org:/pub/git/ipfire-2.x into seventeen

kernel: remove obsolete modules and patches.

tzdata: Fix build to include leap seconds

tzdata: Update to 2014j

kernel: update to 3.14.25.

u-boot: update pandaboard config.

kernel: update multiarm config for pandaboard.

kernel: fix rpi patches.

kernel: update to 3.14.24.

core86: Do all other fancy kernel updating stuff

Merge remote-tracking branch 'origin/seventeen' into seventeen

installer: Power off instead of reboot after unattended install

kernel-pae: update un/install scripts for grub2.

installer: Only drop to a debug shell after a segmentation fault

installer: Fix umounting destination

Merge remote-tracking branch 'origin/seventeen' into seventeen

kernel: update netdev ledtrigger patch.

kernel: disable crashing sensor drivers on arm.

Merge branch 'seventeen' of git.ipfire.org:/pub/git/ipfire-2.x into seventeen

kernel: kirkwood: fix legacy boot patch for dreamplug.

flash-images: use third partition again as root.

installer: Improve check for serial console option

httpscert: Create certificate with SHA256 hash

part/fsresize: fix on systems without initrd.

/proc/mounts has no correct entry for / on such systems.
Use mount instead.

kernel: arm-multi: disable hanging sunxi_ss crypto module.

udev loads the problematic module automaticly.

installer: Fix download of the ISO image

installer: Don't try to install /etc/hosts which does not exist

installer: Show better helpline in unattended mode

Merge remote-tracking branch 'origin/seventeen' into seventeen

fireinfo: Import latest fixes for ARM

kernel: build sunxi crypto driver as module.

kernel: readd kirkwood legacy boot code.

kernel: enable carl97xx hwrng.

Merge branch 'seventeen' of git.ipfire.org:/pub/git/ipfire-2.x into seventeen

Create Core Update 86

nagios+icinga plugins: removed ipv6 support

fix typo

use bash instead of sh

Merge remote-tracking branch 'origin/seventeen' into seventeen

installer: Correctly position buttons in dialogs

kernel: arm multiarch: enanble xhci.

Merge branch 'kernel-test-next' into seventeen

Merge branch 'seventeen' of ssh://git.ipfire.org/pub/git/ipfire-2.x into seventeen

kernel: use correct external modules at initrd build.

kernel: patches and preliminary 3.14 config for arm.

flash-images: distro image is not compressed on arm.

kernel: rootfile update (i586).

glibc: rootfile update (i586)

Merge remote-tracking branch 'origin/seventeen' into kernel-test-next

installer: Create locale archive to save space in the initrd

New Addon: tmux

squidclamav: Fix an error when parsing the client IP address

Update some stuff for the Italian translation

Add an Italian translation

file web interface in Italian

installer: Initialize console font

Set LatArCyrHeb-16 as default font

strongswan: Update to 5.2.1

glibc: Fix build on x86

Some files that are patched for ARM are not available
on the x86 source tree. Hence the sed command should not
be executed.

Merge remote-tracking branch 'origin/seventeen' into seventeen

Conflicts:
make.sh

installer: Implement option to run a postinstall script in the installer

kernel: update to 3.14.22 (intel only yet).

cryptodev: update to unreleased 1.7 from git.

glibc: fix build on intel platform.

installer: Allow to disable creation of swap space on command line

installer: Fix loads of compiler warnings

installer: Rework downloading ISO and allow using a custom URL

Merge branch 'kernel-test' into seventeen

kernel: fix build on rpi.

kernel: fix uInit ramdisk build.

glibc: fix build with new patches.

installer: Simplify kernel command line parsing

set toolchain to 8 and version to 2.17.

tzdata: fix build with new coreutils.

Revert "Revert "toolchain: Fix compiling due to Stack Protector changes.""

This reverts commit 4ec728f840372f61d61c5019d766f453231eb706.

installer: Create a config struct

Merge branch 'next' of ssh://git.ipfire.org/pub/git/ipfire-2.x into seventeen

Update Turkish translation

core85: set version to core85.

Merge branch 'install-raid' into seventeen

Conflicts:
make.sh

installer: Make restoring the backup interactive

Merge branch 'next' of ssh://git.ipfire.org/pub/git/ipfire-2.x into next

apache: Disable SSLv3 by default for the IPFire webinterface

openssl-compat: update to 0.9.8zc

kernel: fix build for rpi.

the eMMC patch is also inside of the rpi patchset from rpi-foundation so it cannot applied again.

Create Core Update 85

openssl: Update to version 1.0.1j

OpenSSL Security Advisory [15 Oct 2014]
=======================================

SRTP Memory Leak (CVE-2014-3513)
================================

Severity: High

A flaw in the DTLS SRTP extension parsing code allows an attacker, who
sends a carefully crafted handshake message, to cause OpenSSL to fail
to free up to 64k of memory causing a memory leak. This could be
exploited in a Denial Of Service attack. This issue affects OpenSSL
1.0.1 server implementations for both SSL/TLS and DTLS regardless of
whether SRTP is used or configured. Implementations of OpenSSL that
have been compiled with OPENSSL_NO_SRTP defined are not affected.

OpenSSL 1.0.1 users should upgrade to 1.0.1j.

This issue was reported to OpenSSL on 26th September 2014, based on an original
issue and patch developed by the LibreSSL project. Further analysis of the issue
was performed by the OpenSSL team.

The fix was developed by the OpenSSL team.

Session Ticket Memory Leak (CVE-2014-3567)
==========================================

Severity: Medium

When an OpenSSL SSL/TLS/DTLS server receives a session ticket the
integrity of that ticket is first verified. In the event of a session
ticket integrity check failing, OpenSSL will fail to free memory
causing a memory leak. By sending a large number of invalid session
tickets an attacker could exploit this issue in a Denial Of Service
attack.

OpenSSL 1.0.1 users should upgrade to 1.0.1j.
OpenSSL 1.0.0 users should upgrade to 1.0.0o.
OpenSSL 0.9.8 users should upgrade to 0.9.8zc.

This issue was reported to OpenSSL on 8th October 2014.

The fix was developed by Stephen Henson of the OpenSSL core team.

SSL 3.0 Fallback protection
===========================

Severity: Medium

OpenSSL has added support for TLS_FALLBACK_SCSV to allow applications
to block the ability for a MITM attacker to force a protocol
downgrade.

Some client applications (such as browsers) will reconnect using a
downgraded protocol to work around interoperability bugs in older
servers. This could be exploited by an active man-in-the-middle to
downgrade connections to SSL 3.0 even if both sides of the connection
support higher protocols. SSL 3.0 contains a number of weaknesses
including POODLE (CVE-2014-3566).

OpenSSL 1.0.1 users should upgrade to 1.0.1j.
OpenSSL 1.0.0 users should upgrade to 1.0.0o.
OpenSSL 0.9.8 users should upgrade to 0.9.8zc.

https://tools.ietf.org/html/draft-ietf-tls-downgrade-scsv-00
https://www.openssl.org/~bodo/ssl-poodle.pdf

Support for TLS_FALLBACK_SCSV was developed by Adam Langley and Bodo Moeller.

Build option no-ssl3 is incomplete (CVE-2014-3568)
==================================================

Severity: Low

When OpenSSL is configured with "no-ssl3" as a build option, servers
could accept and complete a SSL 3.0 handshake, and clients could be
configured to send them.

OpenSSL 1.0.1 users should upgrade to 1.0.1j.
OpenSSL 1.0.0 users should upgrade to 1.0.0o.
OpenSSL 0.9.8 users should upgrade to 0.9.8zc.

This issue was reported to OpenSSL by Akamai Technologies on 14th October 2014.

The fix was developed by Akamai and the OpenSSL team.

References
==========

URL for this Security Advisory:
https://www.openssl.org/news/secadv_20141015.txt

Note: the online version of the advisory may be updated with additional
details over time.

For details of OpenSSL severity classifications please see:
https://www.openssl.org/about/secpolicy.html

kernel: uodate to 3.10.58.

Update Turkish translation