Update libvirt to 2.1

This is the update of libvirt to the latest version 2.1.
The most important change from a packager view is the new virtlogd
daemon.
This daemon handles the qemu output and wrote it to log files.

The require some changes:
- A new init script to start, stop restart the daemon called virtlogd.
The daemon is restart with SIGUSR1 (this is important because the daemon
keeps all pipelines etc. open).

This introduces a problem with the uninstall.sh install.sh script.
It is not possible to stop the daemon while virtual machines are
running, so the script update.sh execute from now not uninstall.sh and
install.sh instead it contains all steps from uninstall.sh install.sh
expect the start / stop routine for virtlogd. The daemon is just
restarted after the update, which makes sure that all changes take
effect.

- new symlinks in the uninstall.sh and install.sh script and some root
file changes because of the new virtlogd init script.
- the archive format changes from tar.gz to tar.xz

For Changelogs see:

https://libvirt.org/news-2015.html
https://libvirt.org/news.html (2017 and later:
https://libvirt.org/news-2016.html )

Signed-off-by: Jonatan Schlag <jonatan.schlag@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Merge branch 'next' of ssh://git.ipfire.org/pub/git/ipfire-2.x into next

dnsmasq 2.76: latest patches (015-016)

Signed-off-by: Matthias Fischer <matthias.fischer@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

gnupg: Update to 1.4.21

Second try:

Update from 1.4.18 to 1.4.21, based on current 'next'.

Best,
Matthias

Signed-off-by: Matthias Fischer <matthias.fischer@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

nano: Update to 2.6.3

Signed-off-by: Matthias Fischer <matthias.fischer@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Merge branch 'core104' into next

smartmontools: Update to 6.5

For details, see:
https://www.smartmontools.org/browser/tags/RELEASE_6_5/smartmontools/NEWS

Best,
Matthias

Signed-off-by: Matthias Fischer <matthias.fischer@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

libgpg-error: Update to 1.24

Signed-off-by: Matthias Fischer <matthias.fischer@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

libgcrypt: Update to 1.7.3

Fixes CVE-2016-6313

For details, see:
https://lists.gnupg.org/pipermail/gnupg-announce/2016q3/000395.html
https://bugzilla.redhat.com/show_bug.cgi?id=1366105

Signed-off-by: Matthias Fischer <matthias.fischer@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

libassuan: Update to 2.4.3

Signed-off-by: Matthias Fischer <matthias.fischer@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

squid: Update to 3.5.20 with latest patches (14067-14075)

For details, see:
http://www.squid-cache.org/Versions/v3/3.5/changesets/

Since there were problems with "trailing white spaces" I started a new 'squid_3'
branch from scratch, based on current 'next'.
I hope this is what is needed and that it helps.

This one was built without errors and is running here without seen problems.

Best,
Matthias

Signed-off-by: Matthias Fischer <matthias.fischer@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

kernel: fix grsecurity patch.

Signed-off-by: Arne Fitzenreiter <arne_f@ipfire.org>

kernel: update to 3.14.77

fix performance issue with tcp ack security fix.

Signed-off-by: Arne Fitzenreiter <arne_f@ipfire.org>

kernel: update arm-multi grsec compile fix patch

Signed-off-by: Arne Fitzenreiter <arne_f@ipfire.org>

kernel: add hyper-v: mark tsc unstable patch

Signed-off-by: Arne Fitzenreiter <arne_f@ipfire.org>

kernel: update to 3.14.76

this kernel has important tcp and ext4 fixes.

Signed-off-by: Arne Fitzenreiter <arne_f@ipfire.org>

Merge branch 'core104' into next

Libvirt: load vhost_net before libvirtd start.

If the  kernel module vhot_net is loaded, the performance of virtio
networking is better then without vhost_net.
So the module is loaded before libvirtd ist started to get the benefit
of vhost_net.

Signed-off-by: Jonatan Schlag <jonatan.schlag@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Libvirt: fix configuration options

Adds a missed - to -without-dbus and -with-interface.

Signed-off-by: Jonatan Schlag <jonatan.schlag@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Libvirt: enable storage-fs

Fixes: 11154

Signed-off-by: Jonatan Schlag <jonatan.schlag@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Libvirt: load vhost_net before libvirtd start.

If the  kernel module vhot_net is loaded, the performance of virtio
networking is better then without vhost_net.
So the module is loaded before libvirtd ist started to get the benefit
of vhost_net.

Signed-off-by: Jonatan Schlag <jonatan.schlag@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Libvirt: fix configuration options

Adds a missed - to -without-dbus and -with-interface.

Signed-off-by: Jonatan Schlag <jonatan.schlag@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Libvirt: enable storage-fs

Fixes: 11154

Signed-off-by: Jonatan Schlag <jonatan.schlag@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

core104: revert adding customservices.

simply adding may use id's twice if the user has
added other services so we don't update this files.

Signed-off-by: Arne Fitzenreiter <arne_f@ipfire.org>

dnsmasq 2.76: latest patches (013-014)

Signed-off-by: Matthias Fischer <matthias.fischer@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Add new package libusbredir

This package adds support for the use redirection of spice.
It is now possible to attach USB devices of the host where the spice
client run to the virtual machine.

The binary is not needed for this functionality and that's why they is
not shipped with the package

This feature is also enabled in qemu.

Signed-off-by: Jonatan Schlag <jonatan.schlag@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

set version to core104

Signed-off-by: Arne Fitzenreiter <arne_f@ipfire.org>

Merge remote-tracking branch 'origin/master' into next

core104: add changed files

customservices and openssh.

Signed-off-by: Arne Fitzenreiter <arne_f@ipfire.org>

Libvirt: Remove delay from start command in install.sh

Fixes: #11152

Signed-off-by: Jonatan Schlag <jonatan.schlag@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

dnsmasq 2.76: latest patches from upstream (010-012)

Signed-off-by: Matthias Fischer <matthias.fischer@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Libvirt: Add backup

The directory /etc/libvirt is backed up on uninstallation  and is
restored on installation.

Alle Files in  /var are commented in the rootfile so they are not
removed on uninstallation.
Because of the fact that the directories are not shipped with the
package they were created at installation time.
The permissions of 3 directories are changed because the qemu user is
nobody and the qemu group is kvm, so the permissions must be nobody:kvm

Fixes: #11151

Signed-off-by: Jonatan Schlag <jonatan.schlag@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

openssh: Update to 7.3p1

Includes various security fixes:

 * sshd(8): Mitigate a potential denial-of-service attack against
   the system's crypt(3) function via sshd(8). An attacker could
   send very long passwords that would cause excessive CPU use in
   crypt(3). sshd(8) now refuses to accept password authentication
   requests of length greater than 1024 characters. Independently
   reported by Tomas Kuthan (Oracle), Andres Rojas and Javier Nieto.

 * sshd(8): Mitigate timing differences in password authentication
   that could be used to discern valid from invalid account names
   when long passwords were sent and particular password hashing
   algorithms are in use on the server. CVE-2016-6210, reported by
   EddieEzra.Harari at verint.com

 * ssh(1), sshd(8): Fix observable timing weakness in the CBC padding
   oracle countermeasures. Reported by Jean Paul Degabriele, Kenny
   Paterson, Torben Hansen and Martin Albrecht. Note that CBC ciphers
   are disabled by default and only included for legacy compatibility.

 * ssh(1), sshd(8): Improve operation ordering of MAC verification for
   Encrypt-then-MAC (EtM) mode transport MAC algorithms to verify the
   MAC before decrypting any ciphertext. This removes the possibility
   of timing differences leaking facts about the plaintext, though no
   such leakage has been observed.  Reported by Jean Paul Degabriele,
   Kenny Paterson, Torben Hansen and Martin Albrecht.

 * sshd(8): (portable only) Ignore PAM environment vars when
   UseLogin=yes. If PAM is configured to read user-specified
   environment variables and UseLogin=yes in sshd_config, then a
   hostile local user may attack /bin/login via LD_PRELOAD or
   similar environment variables set via PAM. CVE-2015-8325,
   found by Shayan Sadigh.

Fixes: #11160

Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Improve wording of the Guardian translations

Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Update translation

Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Merge remote-tracking branch 'stevee/guardian-2.0' into next

htop: Update to 2.0.2

For details, see:
http://hisham.hm/htop/index.php?page=downloads

Signed-off-by: Matthias Fischer <matthias.fischer@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

guardian: Update to the tagged release version.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

Merge branch 'next' of git.ipfire.org:/pub/git/ipfire-2.x into next

core104: ship screen

old binary is linked against libshadow.0*

Signed-off-by: Arne Fitzenreiter <arne_f@ipfire.org>

Core 104: Add for guardian changed files to core update.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

initscripts: Drop guardian related code from snort initscript.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

ids.cgi: Drop guardian related code.

Guardian competely will be managed by it's own CGI.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian-legacy: Drop old guardian related files.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Fix path to snort alert file.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

log.dat: Added entry for 'guardian'

Signed-off-by: Matthias Fischer <matthias.fischer@ipfire.org>
Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian: Update to 2.0.

Update guardian to the re-written version.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Prevent from using "syslog" and "debug".

When using syslog as log facility and debug as log mode,
syslog does not log anything.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Also generate ignore file when building the configuration.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

Language file update.

Add guardian related strings to the german language file.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

perl-Net-IP: New package

The perl-Net-IP module provides various methods for validating
and calculating IP-addresses (both IP protocols supported) and
is a runtime dependency of guardian 2.0.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

perl-common-sense: New package.

This is a runtime dependency for perl-inotify2.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

perl-inotify2: New package.

This module contains inotify bindings for perl, used by the extendend guardian.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

Language file update.

Add new guardian related strings.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Show/Hide options using Java Script.

The options for configuring the log file location and
snort alert priority level now dynamically will be
displayed or hidden if the desired options or feature
is not used.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Add support for selecting the used firewall action.

This will allow to choose between DROP and REJECT if guardian blocks an
attackers address.

Fixes #10xxx.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Use new feature of ignore file inclusion.

Add support and usage of the recently introduced feature of
including other files in the ignore file to add
the red related IP-addresses to the ignore list on IPFire
systems.

Also use reload-ignore-list feature instead of reloading the
whole configuration on ignore list modifications.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Create config and ignore file if they does not exist.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Prevent from blocking the used DNS servers.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Use private subfunction for gateway and DNS server detection.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Add function to generate the guardian.ignore file.

This function is responsible for collecting all required data,
like the green, blue, orange (if the interfaces are available),
red, gateway and used DNS server IP-addresses.

It will add als these addresses and the configured and enabled
user-defined ignored addresses/networks to the ignore file of
guardian to prevent from blocking any of them.

Note:

The IPFire and RED inteface related addresses also will be added
to the ignore file, even if there is no user-defined entry in the
list.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Use ignored config file.

The CGI now uses an own ignored configuration file for
storing host addresses and/or subnets which should be
ignored by guardian.

This allows to add remarks for them and to enable or disable
each entry individally at any time.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Use "getipstat" binary.

Rework the GetBlockedHosts() to use the "getipstat" binary
instead of the not longer available "guardianctrl" binary.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Send commands through socket connection.

The guardianctrl binary does not longer exists, use
the Guardian::Socket module to send various commands
by using the provided socket client.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Adjust code for generating the config file.

The config file format and values have been changed, so the
code to do the generation has to be adjusted.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Drop option for configure the path to the snort alertfile.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Rename hash keys for enabled modules.

Rename the hash key names of enabled parser modules,
(services which should be monitored by guardian) to
keep the same name sheme than in the guardian config
file.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Adjust CGI to use Locale::Codes::Country.

The module has been renamed some time ago.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Disable debugging.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Suppress warnings for ${Header::colourgreen} variable.

Reference #10748.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Fix unititalized value "GUARDIAN_ENABLE_OWNCLOUD".

When the owncloud addon is not installed, this value was not
initialized correctly.

Reference #10748.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Use variable $pid instead of array element.

This will prevent from a lot of perl suggestions in the
apache error log.

Reference #10748.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Fix path to meta-owncloud.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Add configure options for owncloud.

The related options only will be displayed when the owncloud addon
has been installed.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Allways read-in settings.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Some more input validation.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Correct indentation when writing out the config file.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Add dropdown for PriorityLevel selection.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Fix and improve input validation.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Reload guardian if config or the ignorelist changes.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Add option to configure the BlockCount.

Some small code fixes.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Accidently hardcoded some descriptions.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Add dropdown to select the used loglevel.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Remove code for options which have been dropped from guardian.

Guardian does not longer require the information for the red interface from
the configfile.

Guardian does not longer support a targetfile.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Add options to enable/disable some built-in functions from guardian.

This commit allows to enable or disable the monitoring of the snort alertfile
and to switch off the blocking of SSH and HTTPD Brute-force attempts.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Remove code for Blockinterfaces.

We don't need this code anymore because we dropped interface support
from guardian.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Connect subboxes with input elements to the main boxes.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Sort blocked IP addresses.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Add hyperlink to ipinfo page for blocked hosts.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: Autodetect the used interface for red.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

guardian.cgi: New page to configure and interact with guardian.

Signed-off-by: Stefan Schantl <stefan.schantl@ipfire.org>

nginx: Update to 1.8.1

Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

kernel: update arm buildfix patch

Signed-off-by: Arne Fitzenreiter <arne_f@ipfire.org>

core104: add kernel to updater

Signed-off-by: Arne Fitzenreiter <arne_f@ipfire.org>

kernel: update to 3.14.74

Signed-off-by: Arne Fitzenreiter <arne_f@ipfire.org>

backports: add upstream driver fixes.

Signed-off-by: Arne Fitzenreiter <arne_f@ipfire.org>

Firewall: Add Services SSMTP and submission

Signed-off-by: Alexander Marx <alexander.marx@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

nano 2.6.1: fix in rootfile

Signed-off-by: Matthias Fischer <matthias.fischer@ipfire.org>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

core104: Include recent changes

Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Change case of the unit "bit" from "Bit" to "bit" in web UI

The correct case for "kilobit" is "kilobit", not "kiloBit".
And the same applies for Mbit, Gbit etc.
Reference is https://en.wikipedia.org/wiki/Kilobit

This commit changes the texts used in the web UI, so
that it correctly displays as "bit", "kbit", "Mbit" etc.

This fixes bugzilla item 10918.

Signed-off-by: Alf Høgemark <alf@i100.no>
Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>