update IANA's certificate for root trust anchor bootstrapping

The file now contains both old and new certificate, as downloaded from:
https://data.iana.org/root-anchors/icannbundle.pem
The switch of signatures themselves is planned for 2028.

iterate: fix DNS64 on CNAMEs

It's a bit embarassing that the issue has lasted this long.
Overall the DNS64 module is slightly hacky/prototype-ish.

tests/integration/deckard: pull updates to fix CI

Merge branch 'v5-ci-dockerhub-fix' into 'master-5'

v5: ci: docker:dockerhub: avoid SIGPIPE when determining latest tag

See merge request knot/knot-resolver!1860

.gitlab-ci.yml: docker:dockerhub: avoid SIGPIPE

Replaced the piped 'git tag | head' command with 'git for-each-ref'
to avoid intermittent exit code 141 failures in CI.

Merge !1845: v5: ci: dockerhub automatic deploy from scheduled pipeline

scripts: created Makefile.docker

.gitlab-ci.yml: docker:dockerhub: only auto-deploy on latest5 tag

.gitlab-ci.yml: docker:dockerhub: allow automatic deploy from schedule

.gitlab-ci.yml: docker:dockerhub: added tag with date-stamp

.gitlab-ci.yml: docker:build:cross-platform: unique builder for every build

Merge !1838: pkg: rpm: package provides user/group

pkg: rpm: package provides user and group

Return to static user/group creation.

Merge !1833: v5: support libdnssec merged into libknot, as planned for knot >= 3.6

treewide: avoid DNSSEC_EOK

It was zero anyway, just as KNOT_EOK or kr_ok()

(cherry picked from commit c8ea4c076a622a724626f79eb3bd0ba4badd1f17)

libdnssec -->> libknot

(cherry picked from commit 80cf9eb10cef5567feb54fe96a9daf044a82f209)

treewide: centralize inclusion of libdnssec headers

(cherry picked from commit d0375933dd0805e77ebe53765c51c8c8afa4a29e)

Merge !1832: misc v5 backports

distro/pkg: replace retired Jakub's contact by our team alias

(cherry picked from commit 9623ce239317a51362f181363fdae24d06cfe5f1)

lib/cache: trim TTL of failing stashed packets

In particular, in STUB mode
(i.e. forwarding with dnssec:false + authoritative:false)
if a SERVFAIL packet from upstream contained also records,
this packet could be cached with long TTL.

This issue was reported by Qifan Zhang from Palo Alto Networks.

Additionally, let's apply our TTL limits for caching also
to the `cache-control: max-age=` HTTP header sent in DoH replies.

(cherry picked from commit e4812f51e385334e051851c839b4a262d6224411)

lib/resolve: backport `the_resolver` symbol

It's trivial to add this simple pointer,
and it will tremendously help with the following commit.

daemon/http.c nit: fix const-warnings with C23

Interestingly, with C23, functions like strstr()
return a const-qualified pointer iff one was passed to them.
Right now we ran into this in Arch CI (unreleased gcc 15 version):
https://gitlab.nic.cz/knot/knot-resolver/-/jobs/1713767

(cherry picked from commit e6de5ceece8bd5fd91d306a7612f292f643935bd)

Merge !1831: pkg: rpm sysusers, distro tests and other improvements

daemon/lua: avoid depending on KNOT_EDNS_MAX_OPTION_CODE

We don't need to use the knot_edns_options_t type from lua,
only there's a pointer in knot_pkt_t.
Now libknot increased this length in v3.4.4,
even without bumping SONAME, and it might happen again.
This way we avoid kres-gen-*.lua depending on this length.

(cherry picked from commit 016692b2766ab9225a54ca1c0fda3e660a15a68c)

.gitlab-ci.yml: use newer knot version 3.5

.gitlab-ci.yml: removed builds for knot31 and knot32

These knot versions are no longer supported.

.gitlab-ci.yml: updated IMAGE_TAG

tests/integration/deckard: updated with fix for pydnstest symlink

distro/pkg/rpm: removed rhel == 7

distro/pkg/rpm: added systemd-sysusers

The recommended systemd's sysusers is used to add user and group.

.gitlab-ci.yml: pkg: removed tests for ubuntu-25.04

.gitlab-ci.yml: pkg: added tests for  fedora-43 and fedora-44

.gitlab-ci.yml: pkg:make-archive: use ubuntu-26.04 image

Merge !1807: ci: update the list of distros

ci: update the list of distros

Same as e359cbe190f55

Merge branch 'ci-dockerhub-update' into 'master-5'

v5: ci: update dockerhub deploy job

See merge request knot/knot-resolver!1790

.gitlab-ci.yml: updated dockerhub deploy job

Merge !1781: more backports to 5.x

NEWS entries for the previous two backport commits

resolver: don't set AD if both Answer and Authority are empty.

Fixes #914 (nord module: AD=1 is no good)

cache packet_ttl(): fix wrong TTL in some cases, typically 32768

A notable case is when authoritative server incorrectly sends
a reply without any record but with EDNS.

For the OPT, the TTL field contains extended-error, EDNS version,
DO bit and mandatorily zeroed bits.  As extended-error isn't usually
set by authoritative servers outside SERVFAIL, and EDNS version
is just 1 so far, we'd end up with TTL either 32768 (DO=0) or with
a value clamped by maximum TTL (86400 by default).

Merge !1773: various backports to 5.x

tests: migrate off cmocka's deprecated APIs

With cmocka-2.0.0 these broke.
I'm not sure if upstream meant to break them,
but either way we'd better avoid deprecated APIs.

lib/selection: respect 0x20 settings even after TCP issues

Thankfully we can pull it from kr_request,
as policy.FLAGS() also sets it in there.

distro: update apkg to prefer protobuf-compiler, fall back to protobuf-c-compiler

ci: add pkg:ubuntu-25.10

.gitlab-ci.yml: kill Ubuntu 24.10

It won't work anymore:
https://gitlab.nic.cz/knot/knot-resolver/-/jobs/1482521

Merge !1730: tests/integration/deckard: pull updates

tests/integration/deckard: pull updates

- 224: hack compat with python >= 3.11 + libfaketime
- 225: val_nsec3_cnametocnamewctoposwc.rpl: reinstate NS in an answer
  This one finally fixes deckard in CI.

Merge branch 'release-5.7.6' into 'master-5'

Release 5.7.6

See merge request knot/knot-resolver!1723

release 5.7.6

Merge !1721: lib/dnssec: drop incorrect `requirement` and comment

lib/dnssec: drop incorrect `requirement` and comment

I don't think this can happen on correct records,
due to the way that the root zone is.  But we've seen
this assertion happen in real life, and attackers
might be able to misuse it to cause crashes.

Merge !1720: lib/cache pkt_renew(): don't keep parts of packet header

lib/cache pkt_renew(): don't keep parts of packet header

No idea why it's been done in this weird way since forever.

Merge !1719: meson: avoid protoc-c, as it's deprecated

meson: avoid protoc-c, as it's (reported as) deprecated

> `protoc-c` is deprecated. Please use `protoc` instead!

Merge !1707: .gitlab-ci.yml: add pkg:alma-10

.gitlab-ci.yml: add pkg:alma-10

Merge !1692: ci pkg: update the distro list

ci pkg: make the distro list up to date

Merge !1690: distro/pkg/deb: use meson through debhelper

distro/pkg/deb: use meson through debhelper

Use standard debhelper as opposed to calling meson and ninja manually.

This mirrors v6 change and it fixes FTBFS on Ubuntu 25.04 in LaunchPad.

Merge branch 'release-5.7.5' into 'master-5'

Release 5.7.5

See merge request knot/knot-resolver!1681

AUTHORS update

release 5.7.5

Merge !1683: DoS: fix crashes unconfirmed on 5.x

NEWS for the possibly DoS issue

It's been confirmed in practice for 6.x only so far.

daemon/session2_tasklist_del(): be more defensive

See the 6.x commit 0646b6c3

daemon/worker send_waiting(): be more defensive

See the 6.x commit 7210f16e

Merge !1679: NEWS: merge duplicate sections

NEWS: merge duplicate sections

Merge !1678: misc 5.x backports

lint: pylint and flake8 removed

(cherry picked from commit d92fba4d12df38d50cc97daab4a4b81337bb57c5)
It now fails on 5.x pytest, too:
https://gitlab.nic.cz/knot/knot-resolver/-/jobs/1340121

modules/stats: further improve latency measurements

libuv's updating the stamp just once per event loop
might be too coarse, as processing multiple packets
(e.g. DNSSEC validation) may take milliseconds together.

Of course we still don't measure e.g. the time when incoming
client requests stay in OS buffers.

(cherry picked from commit 5e6a02b3902ac98b327eca281ae70fa2bb9a9598)

lib: clarify the doc-comment for struct kr_query::timestamp

(cherry picked from commit 33151c4b5af57a9e51c998169b42ebe7e48af5fc)

modules/stats: fix calculation of request's latency

(cherry picked from commit b7cd7cbae773fecfca795d7f0ef064fa85aec59c)

Doc: include jquery for sphinx version equal or greater to 2.*

(cherry picked from commit 2378b94d81e069b580eba55958adb1d4309de82c)

ci: pkg: add ubuntu 25.04

(cherry picked from commit 7da7083143b764bddab9402212676ac74ea6997b)

validator: accept a confusing NODATA proof with insecure delegation

Honestly, I find it ugly and probably unintended,
but it's correctly signed and other vendors tend to accept it.

Example:
;; ->>HEADER<<- opcode: QUERY; status: NOERROR; id: 24204
;; Flags: qr aa rd; QUERY: 1; ANSWER: 0; AUTHORITY: 4; ADDITIONAL: 1

;; EDNS PSEUDOSECTION:
;; Version: 0; flags: do; UDP size: 4096 B; ext-rcode: NOERROR

;; QUESTION SECTION:
;; _domainkey.mail.cez.cz.              TXT

;; AUTHORITY SECTION:
cez.cz.                 3600    SOA     ns10.cez.cz. netmaster.cez.cz. 2025021801 14400 3600 604800 7200
cez.cz.                 3600    RRSIG   SOA 10 2 3600 20250302073317 20250223063317 45620 cez.cz. JnAonhCOi234lF2A40lYaHcuKtxACKz8X6UFILSgSaK00xyXDk6gWDWo3nmMjXxBwgfP98Gaj8nLMqRZ7ezAEUfWi+5P4YCQzax5Habu3nKB+XKocIPMCHHMhOMf410w4Taz4N2rKgi1p71QkuujISi3JZWzqG4bqzot2cGL12w=
1vk9lupeivbv7dhsb7udm5da1hkd089j.cez.cz. 7200   NSEC3   1 0 1 ACB298B834ADA5FD 1vk9lupeivbv7dhsb7udm5da1hkd089k A NS HINFO MX AAAA SRV RRSIG CAA
1vk9lupeivbv7dhsb7udm5da1hkd089j.cez.cz. 7200   RRSIG   NSEC3 10 3 7200 20250303115912 20250224105912 45620 cez.cz. OBW90lof86IoVsiuKkNEf4useG3fikE+npAVkpbiVsgMZWLHRNzAAlIU9wPMH5S4CWpnwoMVTaNtWJxegsG7cvCDZrjVVNOHE9hLOG2eG9f57vx/tVFTe4/DegO9KOyColOOYt4nt/uj7LTJZbzJY3Ev8I9971LEkFf5IxVwwPU=

(cherry picked from commit 91ca2921d39cc7a3de57a5db872f89974a4e7f39)

ci: update to new IMAGE_TAG

For 6.x we started using this TAG in commit a1aa3a51a2ede
but there have been other IMAGE_TAG bumps in the meantime.

Here we'll need it for the deckard update in the next commit,
which is needed due to validator tweaks.
And to fix CI, let's do the tiny bump in the lua bindings
(no practical impact whatsoever due to struct alignment).

tests: disable problematic config.http test

https://gitlab.nic.cz/knot/knot-resolver/-/issues/925
(cherry picked from commit ff5d5024e5fd00054431349a4bf54acea484891a)

ci: pkg: added debian 13

(cherry picked from commit c26ada8041d60827887a05977364f5eab7e7fb12)

Merge !1652: daemon/http: fix stuck HTTP status code

daemon/http: fix stuck HTTP status code

backported from v6.0.2 12f5b8efae82fe013

Two DoH tests fail now on 5.x and got disabled,
but I believe that the issue getting fixed is more serious,
especially when using a reverse proxy.

Merge branch '5-ci-docker-buildx-stop' into 'master-5'

v5.x: ci: docker: stop buildx after cross-platform build

See merge request knot/knot-resolver!1675

v5.x: ci: docker: stop buildx after cross-platform build

Merge !1635: v5.x: ci: docker: specify platform explicitly

.gitlab-ci.yml: docker: specify platform explicitly

DockerFile: update KnotDNS version

DockerFile: update to Debian 12

Merge !1634: v5.x: ci: docker cross-platform build, tests and deploy

v5.x: ci: docker cross-platform build, tests and deploy

Merge !1593: SUSE fixes to fix Leap 15.5 and Tumbleweed in COPR

doc/quickstart-install.rst: port instructions from our homepage

We were updating it just a while ago.

Merge master-5 into suse-fixes-v5

It's good to keep these based on the last release tag
(as that's what we use in packages) but for CI we need to sync.

distro/pkg/rpm: disable docs build on openSUSE

Improve macros handling docs build.

distro/pkg/rpm: provide knot-resolver user and group on openSUSE

scripts/upstream-version.sh: check latest 5.x version

Also bump apkg compat to latest 4 (no changes needed).

Merge !1582: bench/bench_lru: make it build again, and check it in CI (v5)