lib/cache/cdb: deal with LMDB 1.0.0 switching format

1.0.0 also regresses in properties of mdb_drop()
(which will be fixed in 1.0.1 reportedly),
but with kresd 5.x this doesn't seem to cause issues.

Merge !1874: v5: avoid secure.nic.cz URLs

avoid secure.nic.cz URLs

They've been HTTP 301 for quite a long time now.
These legacy aliases still work, but let's not rely on that anymore.

(cherry picked from commit 8391c3961b2d6fe5e4cb7ad50324dc2355a2f490)

Merge !1871: lib/cache: fix excessive logging regression

lib/cache: fix excessive logging regression

Regressed in 29b55ceb426efaa and annoyingly logging e.g.:
> [cache ] [35589.02] stash failed, ret = 1

Example QNAME to trigger this: foo.bar.cloudflare.net

(cherry picked from commit b9327b8fab7f3e8b4e60dde2c146daa30e9fb80f)

Merge branch '5-ci-docker-test-fix' into 'master-5'

ci: fixed docker cross-platform tests

See merge request knot/knot-resolver!1868

.gitlab-ci.yml: fix for docker cross-platform tests

Use kresd non-interactive mode
and redirect stderr to kresd.log.

Merge !1867: ci: pkg: added Ubuntu 26.10

.gitlab-ci.yml: pkg: remove Ubuntu 20.04 and 25.10

.gitlab-ci.yml: pkg: add Ubuntu 26.10

Merge branch 'ci-deploy-dockerhub-fix' into 'master-5'

ci: docker:dockerhub: fix LATEST5_TAG

See merge request knot/knot-resolver!1866

.gitlab-ci.yml: docker:dockerhub: fix LATEST5_TAG

Merge branch 'release-5.7.7' into 'master-5'

Release 5.7.7

See merge request knot/knot-resolver!1864

AUTHORS: update

release 5.7.7

add NEWS items for these security issues

restrict RRSIGs claiming wildcard reach out of the zone [QZKF-005]

This issue was reported by Qifan Zhang from Palo Alto Networks.

Nit: this assignments of `ret` aren't important,
but they might be a bit useful when debugging.

(cherry picked from commit 29b55ceb426efaafcc955181637072a36a99486e)

lib/dnssec.c: guard NSEC's next name against zone bailiwick [QZKF-001]

This issue was reported by Qifan Zhang from Palo Alto Networks.

(cherry picked from commit ccbf48088f3ae0736c878888f3cae04ff462d651)

Merge !1862: backport a few MRs to v5

update IANA's certificate for root trust anchor bootstrapping

The file now contains both old and new certificate, as downloaded from:
https://data.iana.org/root-anchors/icannbundle.pem
The switch of signatures themselves is planned for 2028.

iterate: fix DNS64 on CNAMEs

It's a bit embarassing that the issue has lasted this long.
Overall the DNS64 module is slightly hacky/prototype-ish.

tests/integration/deckard: pull updates to fix CI

Merge branch 'v5-ci-dockerhub-fix' into 'master-5'

v5: ci: docker:dockerhub: avoid SIGPIPE when determining latest tag

See merge request knot/knot-resolver!1860

.gitlab-ci.yml: docker:dockerhub: avoid SIGPIPE

Replaced the piped 'git tag | head' command with 'git for-each-ref'
to avoid intermittent exit code 141 failures in CI.

Merge !1845: v5: ci: dockerhub automatic deploy from scheduled pipeline

scripts: created Makefile.docker

.gitlab-ci.yml: docker:dockerhub: only auto-deploy on latest5 tag

.gitlab-ci.yml: docker:dockerhub: allow automatic deploy from schedule

.gitlab-ci.yml: docker:dockerhub: added tag with date-stamp

.gitlab-ci.yml: docker:build:cross-platform: unique builder for every build

Merge !1838: pkg: rpm: package provides user/group

pkg: rpm: package provides user and group

Return to static user/group creation.

Merge !1833: v5: support libdnssec merged into libknot, as planned for knot >= 3.6

treewide: avoid DNSSEC_EOK

It was zero anyway, just as KNOT_EOK or kr_ok()

(cherry picked from commit c8ea4c076a622a724626f79eb3bd0ba4badd1f17)

libdnssec -->> libknot

(cherry picked from commit 80cf9eb10cef5567feb54fe96a9daf044a82f209)

treewide: centralize inclusion of libdnssec headers

(cherry picked from commit d0375933dd0805e77ebe53765c51c8c8afa4a29e)

Merge !1832: misc v5 backports

distro/pkg: replace retired Jakub's contact by our team alias

(cherry picked from commit 9623ce239317a51362f181363fdae24d06cfe5f1)

lib/cache: trim TTL of failing stashed packets

In particular, in STUB mode
(i.e. forwarding with dnssec:false + authoritative:false)
if a SERVFAIL packet from upstream contained also records,
this packet could be cached with long TTL.

This issue was reported by Qifan Zhang from Palo Alto Networks.

Additionally, let's apply our TTL limits for caching also
to the `cache-control: max-age=` HTTP header sent in DoH replies.

(cherry picked from commit e4812f51e385334e051851c839b4a262d6224411)

lib/resolve: backport `the_resolver` symbol

It's trivial to add this simple pointer,
and it will tremendously help with the following commit.

daemon/http.c nit: fix const-warnings with C23

Interestingly, with C23, functions like strstr()
return a const-qualified pointer iff one was passed to them.
Right now we ran into this in Arch CI (unreleased gcc 15 version):
https://gitlab.nic.cz/knot/knot-resolver/-/jobs/1713767

(cherry picked from commit e6de5ceece8bd5fd91d306a7612f292f643935bd)

Merge !1831: pkg: rpm sysusers, distro tests and other improvements

daemon/lua: avoid depending on KNOT_EDNS_MAX_OPTION_CODE

We don't need to use the knot_edns_options_t type from lua,
only there's a pointer in knot_pkt_t.
Now libknot increased this length in v3.4.4,
even without bumping SONAME, and it might happen again.
This way we avoid kres-gen-*.lua depending on this length.

(cherry picked from commit 016692b2766ab9225a54ca1c0fda3e660a15a68c)

.gitlab-ci.yml: use newer knot version 3.5

.gitlab-ci.yml: removed builds for knot31 and knot32

These knot versions are no longer supported.

.gitlab-ci.yml: updated IMAGE_TAG

tests/integration/deckard: updated with fix for pydnstest symlink

distro/pkg/rpm: removed rhel == 7

distro/pkg/rpm: added systemd-sysusers

The recommended systemd's sysusers is used to add user and group.

.gitlab-ci.yml: pkg: removed tests for ubuntu-25.04

.gitlab-ci.yml: pkg: added tests for  fedora-43 and fedora-44

.gitlab-ci.yml: pkg:make-archive: use ubuntu-26.04 image

Merge !1807: ci: update the list of distros

ci: update the list of distros

Same as e359cbe190f55

Merge branch 'ci-dockerhub-update' into 'master-5'

v5: ci: update dockerhub deploy job

See merge request knot/knot-resolver!1790

.gitlab-ci.yml: updated dockerhub deploy job

Merge !1781: more backports to 5.x

NEWS entries for the previous two backport commits

resolver: don't set AD if both Answer and Authority are empty.

Fixes #914 (nord module: AD=1 is no good)

cache packet_ttl(): fix wrong TTL in some cases, typically 32768

A notable case is when authoritative server incorrectly sends
a reply without any record but with EDNS.

For the OPT, the TTL field contains extended-error, EDNS version,
DO bit and mandatorily zeroed bits.  As extended-error isn't usually
set by authoritative servers outside SERVFAIL, and EDNS version
is just 1 so far, we'd end up with TTL either 32768 (DO=0) or with
a value clamped by maximum TTL (86400 by default).

Merge !1773: various backports to 5.x

tests: migrate off cmocka's deprecated APIs

With cmocka-2.0.0 these broke.
I'm not sure if upstream meant to break them,
but either way we'd better avoid deprecated APIs.

lib/selection: respect 0x20 settings even after TCP issues

Thankfully we can pull it from kr_request,
as policy.FLAGS() also sets it in there.

distro: update apkg to prefer protobuf-compiler, fall back to protobuf-c-compiler

ci: add pkg:ubuntu-25.10

.gitlab-ci.yml: kill Ubuntu 24.10

It won't work anymore:
https://gitlab.nic.cz/knot/knot-resolver/-/jobs/1482521

Merge !1730: tests/integration/deckard: pull updates

tests/integration/deckard: pull updates

- 224: hack compat with python >= 3.11 + libfaketime
- 225: val_nsec3_cnametocnamewctoposwc.rpl: reinstate NS in an answer
  This one finally fixes deckard in CI.

Merge branch 'release-5.7.6' into 'master-5'

Release 5.7.6

See merge request knot/knot-resolver!1723

release 5.7.6

Merge !1721: lib/dnssec: drop incorrect `requirement` and comment

lib/dnssec: drop incorrect `requirement` and comment

I don't think this can happen on correct records,
due to the way that the root zone is.  But we've seen
this assertion happen in real life, and attackers
might be able to misuse it to cause crashes.

Merge !1720: lib/cache pkt_renew(): don't keep parts of packet header

lib/cache pkt_renew(): don't keep parts of packet header

No idea why it's been done in this weird way since forever.

Merge !1719: meson: avoid protoc-c, as it's deprecated

meson: avoid protoc-c, as it's (reported as) deprecated

> `protoc-c` is deprecated. Please use `protoc` instead!

Merge !1707: .gitlab-ci.yml: add pkg:alma-10

.gitlab-ci.yml: add pkg:alma-10

Merge !1692: ci pkg: update the distro list

ci pkg: make the distro list up to date

Merge !1690: distro/pkg/deb: use meson through debhelper

distro/pkg/deb: use meson through debhelper

Use standard debhelper as opposed to calling meson and ninja manually.

This mirrors v6 change and it fixes FTBFS on Ubuntu 25.04 in LaunchPad.

Merge branch 'release-5.7.5' into 'master-5'

Release 5.7.5

See merge request knot/knot-resolver!1681

AUTHORS update

release 5.7.5

Merge !1683: DoS: fix crashes unconfirmed on 5.x

NEWS for the possibly DoS issue

It's been confirmed in practice for 6.x only so far.

daemon/session2_tasklist_del(): be more defensive

See the 6.x commit 0646b6c3

daemon/worker send_waiting(): be more defensive

See the 6.x commit 7210f16e

Merge !1679: NEWS: merge duplicate sections

NEWS: merge duplicate sections

Merge !1678: misc 5.x backports

lint: pylint and flake8 removed

(cherry picked from commit d92fba4d12df38d50cc97daab4a4b81337bb57c5)
It now fails on 5.x pytest, too:
https://gitlab.nic.cz/knot/knot-resolver/-/jobs/1340121

modules/stats: further improve latency measurements

libuv's updating the stamp just once per event loop
might be too coarse, as processing multiple packets
(e.g. DNSSEC validation) may take milliseconds together.

Of course we still don't measure e.g. the time when incoming
client requests stay in OS buffers.

(cherry picked from commit 5e6a02b3902ac98b327eca281ae70fa2bb9a9598)

lib: clarify the doc-comment for struct kr_query::timestamp

(cherry picked from commit 33151c4b5af57a9e51c998169b42ebe7e48af5fc)

modules/stats: fix calculation of request's latency

(cherry picked from commit b7cd7cbae773fecfca795d7f0ef064fa85aec59c)

Doc: include jquery for sphinx version equal or greater to 2.*

(cherry picked from commit 2378b94d81e069b580eba55958adb1d4309de82c)

ci: pkg: add ubuntu 25.04

(cherry picked from commit 7da7083143b764bddab9402212676ac74ea6997b)

validator: accept a confusing NODATA proof with insecure delegation

Honestly, I find it ugly and probably unintended,
but it's correctly signed and other vendors tend to accept it.

Example:
;; ->>HEADER<<- opcode: QUERY; status: NOERROR; id: 24204
;; Flags: qr aa rd; QUERY: 1; ANSWER: 0; AUTHORITY: 4; ADDITIONAL: 1

;; EDNS PSEUDOSECTION:
;; Version: 0; flags: do; UDP size: 4096 B; ext-rcode: NOERROR

;; QUESTION SECTION:
;; _domainkey.mail.cez.cz.              TXT

;; AUTHORITY SECTION:
cez.cz.                 3600    SOA     ns10.cez.cz. netmaster.cez.cz. 2025021801 14400 3600 604800 7200
cez.cz.                 3600    RRSIG   SOA 10 2 3600 20250302073317 20250223063317 45620 cez.cz. JnAonhCOi234lF2A40lYaHcuKtxACKz8X6UFILSgSaK00xyXDk6gWDWo3nmMjXxBwgfP98Gaj8nLMqRZ7ezAEUfWi+5P4YCQzax5Habu3nKB+XKocIPMCHHMhOMf410w4Taz4N2rKgi1p71QkuujISi3JZWzqG4bqzot2cGL12w=
1vk9lupeivbv7dhsb7udm5da1hkd089j.cez.cz. 7200   NSEC3   1 0 1 ACB298B834ADA5FD 1vk9lupeivbv7dhsb7udm5da1hkd089k A NS HINFO MX AAAA SRV RRSIG CAA
1vk9lupeivbv7dhsb7udm5da1hkd089j.cez.cz. 7200   RRSIG   NSEC3 10 3 7200 20250303115912 20250224105912 45620 cez.cz. OBW90lof86IoVsiuKkNEf4useG3fikE+npAVkpbiVsgMZWLHRNzAAlIU9wPMH5S4CWpnwoMVTaNtWJxegsG7cvCDZrjVVNOHE9hLOG2eG9f57vx/tVFTe4/DegO9KOyColOOYt4nt/uj7LTJZbzJY3Ev8I9971LEkFf5IxVwwPU=

(cherry picked from commit 91ca2921d39cc7a3de57a5db872f89974a4e7f39)

ci: update to new IMAGE_TAG

For 6.x we started using this TAG in commit a1aa3a51a2ede
but there have been other IMAGE_TAG bumps in the meantime.

Here we'll need it for the deckard update in the next commit,
which is needed due to validator tweaks.
And to fix CI, let's do the tiny bump in the lua bindings
(no practical impact whatsoever due to struct alignment).