distro/pkg/rpm: change python3_sitearch to python3_sitelib

python: utils: remove systemd_notify.py

Messaging is implemented within the notify_socket module.

python: remove C extension for the notify socket

controller: python implementation of the notify socket

Merge !1869: lib/cache: fix excessive logging regression

lib/cache: fix excessive logging regression

Regressed in 29b55ceb426efaa and annoyingly logging e.g.:
> [cache ] [35589.02] stash failed, ret = 1

Example QNAME to trigger this: foo.bar.cloudflare.net

Merge !1870: fix nits discovered by scan.coverity.com

daemon/quic: assert quic_params are initiated prior to creating a new quic connection table

daemon/session2: improve readability of the terminal loop in session2_new

daemon/io: close dup_fd only if dup() succeeded

covers the path where fdopen failed while stdout was NULL

daemon/quic: initialize *cid variables

daemon/quic nit: explicitly assert !AF_UNIX

scan.coverity.com noticed this with ID 643169

daemon/quic nit: restrict length of cid

The ngtcp2_cid_init() docs say that we must not pass more.
Fortunately, these cases were unreachable from current code.

scan.coverity.com noticed this with ID 651670

Merge !1863: ci: pkg: update list of supported Ubuntu versions

.gitlab-ci.yml: pkg: remove Ubuntu 20.04

.gitlab-ci.yml: pkg: remove Ubuntu 25.10 (EOL)

.gitlab-ci.yml: pkg: add Ubuntu 26.10

Merge branch 'release-6.4.1' into 'master'

Release 6.4.1

See merge request knot/knot-resolver!1865

release 6.4.1

lib/rules: correctly match DoQ protocol

Reported by r00tth3w0r1d@gmail.com as KRES-DOQ-04

The confusion stems from (my) original plans
to represent DoQ here as (fl.tls && !fl.tcp && !fl.http)
but ftobias ended up adding fl.quic.

add NEWS items for these security issues

restrict RRSIGs claiming wildcard reach out of the zone [QZKF-005]

This issue was reported by Qifan Zhang from Palo Alto Networks.

Nit: this assignments of `ret` aren't important,
but they might be a bit useful when debugging.

lib/dnssec.c: guard NSEC's next name against zone bailiwick [QZKF-001]

This issue was reported by Qifan Zhang from Palo Alto Networks.

daemon/quic: various smaller changes, improvements and fixes aggregated into a single commit

list of changes:
- lower default concurrent stream limit 1024 to 16
- rename quic_idle_timeout to quic_handle_timeout
- use PTO for closing/draining state timeouts
- move kr_quic_table_rem2 to quic_common.c
- set_tls_error for tls alerts (in conn close messages with error type
  TRANSPORT)
- add some function documentation to quic_*.h
- improve/fix error messages in conn close packets
- fix and simplify tls alert transport when conn close is sent
- fix cid handling
- call uv_close on the timers in sub-sessions
- add QUIC_SEND_NONE for read errors which forbid/do not need a reply
- quic_bye for closing conns which are in states <= CLOSING (i.e. conn
  that can still send)
- unite handshake timer with ngtcp2 driver timer loop
- add a custom state for failed handshake - QUIC_STATE_HS_ABORT
- handle cid removal from the table for conns which fail before their
  ngtcp2_conn is created
- kr_quic_table_sweep is no longer used, termination handled complately
  by timers
- failed attempt to create ngtcp2_conn now causes the conn session to be
  destroyed immediately

daemon/quic: move ngtcp2_conn_extend_max_streams_bidi to session data deinit

This prevents superfluous resource consumption since the concurent stream limits are raised once the stream is actually terminated and all it's memory is freed.

daemon/session2: pass events to parent sessions and create convenience function for parent session retrieval

for transport.type = SESSION2_TRANSPORT_PARENT sessions pass events along to parent sessions. This is useful for DoQ (which is the only protolayer group using sub-sessions) as it allows us to cleanup references to sub-sessions that are about to be closed

daemon/quic: rewrite timer system, let terminal tasks traverse the entire DoQ group to assure gracefull termination

the timer system was incorrectly oblivious to some ngtcp2 states, this revrite amends missing functionality improving performance stability and correctness. Terminal events now reach all layers, this most importantly solves issues with dangling qr_tasks.

daemon/quic: remove assert and handle partial query data with FIN safely

receiving only part of the data that is promised by the size prefix before receiving stream FIN is an DoQ application error, handle it as such and terminate the connection

daemon/doq: improve recv function

receiving split size prefix was not handled correctly

Merge !1854: /local-data/addresses*: make multiple addresses work

Fixes #808 and #954

lib/rules: fix kr_rule_local_data_merge()

This fixes using multiple RRs in an RRset in some interfaces, e.g.
/local-data/addresses* but not /local-data/{records,rpz}

lib/cache/cdb: add it_del()

lib/cache/cdb: support iterating inside an RW transaction

lib/cache/cdb: add txn_open_rw()

This was extracted from jezek-test commit:
  lib/rules: make kr_rule_local_subtree() safer wrt. transactions

While we don't use this so far, picking will reduce conflicts
e.g. when moving changes between the branches.

Merge !1847: update IANA's certificate for root trust anchor bootstrapping

update IANA's certificate for root trust anchor bootstrapping

The file now contains both old and new certificate, as downloaded from:
https://data.iana.org/root-anchors/icannbundle.pem
The switch of signatures themselves is planned for 2028.

Merge !1861: tests/packaging/dependencies.py: replace deprecated pkg_resources

Closes #955 and #942

.gitlab-ci.yml: python: use virtualenv <20.30 when running python 3.8

Use a virtualenv release that still supports seeding Python 3.8 environments.

tests/packaging/dependencies.py: replace pkg_resources

Replace deprecated pkg_resources with importlib.metadata and packaging.

Merge branch 'ci-dockerhub-fix' into 'master'

ci: docker:dockerhub: avoid SIGPIPE when determining latest tag

See merge request knot/knot-resolver!1859

.gitlab-ci.yml: docker:dockerhub: avoid SIGPIPE

Replaced the piped 'git tag | head' command with 'git for-each-ref'
to avoid intermittent exit code 141 failures in CI.

Merge branch 'docker-debian-13' into 'master'

docker: upgrade to Debian 13

See merge request knot/knot-resolver!1856

Dockerfile: upgrade to Debian 13

Remove unused ENV vars.

Merge !1855: tests/integration/deckard: unblock val_nsec3_optout_unsec_cache.rpl

tests/integration/deckard: unblock val_nsec3_optout_unsec_cache.rpl

Merge branch 'release-6.4.0' into 'master'

Release 6.4.0

See merge request knot/knot-resolver!1852

AUTHORS: update

release 6.4.0

Merge !1851: ci: pkg: add openSUSE Leap 16

.gitlab-ci.yml: pkg: add openSUSE Leap 16

Unfortunately, supervisor is currently not available in the official Leap 16 repositories.

Merge !1849: ci: pkg: add Fedora Rawhide

.gitlab-ci.yml: pkg: add Fedora Rawhide

Merge !1850: ci: lint:coverity: allow failure

.gitlab-ci.yml: lint:coverity: allow failure

The Coverity scan is currently down.

Merge !1848: ci: pkg: add openSUSE Tumbleweed

pkg: rpm: requires python3-jinja2

.gitlab-ci: pkg: add openSUSE Tumbleweed

Leap 15.6 has not been added yet, as it requires further modifications to the RPM .spec file.

Merge !1840: fix DNS64 with CNAMEs

Fixes #797

iterate: fix DNS64 on CNAMEs

It's a bit embarassing that the issue has lasted this long.
Overall the DNS64 module is slightly hacky/prototype-ish.

dns64 tests: also test CNAMEs

Unfortunately, the test still isn't able to catch the issue
which we have there now, so this addition might be pointless.
The problem is that the code answers correctly when satisfied locally
(from local-data or cache).

Merge branch 'scripts-makefile-docker' into 'master'

scripts/Makefile.docker: changed LABEL to knot-resolver

See merge request knot/knot-resolver!1846

scripts/Makefile.docker: changed LABEL to knot-resolver

Merge !1843: ci: dockerhub automatic deploy from scheduled pipeline

scripts/Makefile.docker: synced with KnotDNS makefile

.gitlab-ci.yml: docker:dockerhub: only auto-deploy on latest tag

.gitlab-ci.yml: docker:dockerhub: allow automatic deploy from schedule

.gitlab-ci.yml: docker:dockerhub: added tag with date-stamp

.gitlab-ci.yml: docker:build:cross-platform: unique builder for every build

Merge !1841: policy: Add flag to force TCP as transport

policy: Add flag to force TCP as transport

This is already implemented in the backend, but the flag has not been
exposed. This patch adds the flag so that any forwarders will be
connected to using TCP.

Signed-off-by: Michael Tremer <michael.tremer@ipfire.org>

Merge !1837: pkg: rpm: package provides user/group

pkg: rpm: package provides user and group

Return to static user/group creation.

Merge !1834: controller: improved error handling when sending commands to workers

controller/registered_workers.py: command_registered_workers() better error handling

Improved handling of unexpected errors when sending commands to individual workers.

Merge !1835: ci: use Debian 13 image as default

.gitlab-ci.yml: updated IMAGE_TAG

.gitlab-ci.yml: switch to kres-gen-35 only

As the CI is now, it's not possible to satisfy 3.3 and 3.5 simultanously.
The diff has no practical impact for us, which is why libknot added it.
As 3.3 and 3.5 are still compatible in practice, it's OK to only check 3.5.

.gitlab-ci.yml: all images updated to debian13

Merge !1830: pkg: rpm: sysusers and other improvements/fixes

distro/pkg/rpm: removed rhel == 7

distro/pkg/rpm: removed alpha conflicts

distro/pkg/rpm: added systemd-sysusers

The recommended systemd's sysusers is used to add user and group.

.gitlab-ci.yml: pkg: added fedora-43 and fedora-44

distro/pkg/rpm: added python3-setuptools as build requirement

Merge branch 'release-6.3.0' into 'master'

Release 6.3.0

See merge request knot/knot-resolver!1829

release 6.3.0

Merge !1828: lib/rules: warn about non-CNAME wildcards in RPZ

lib/rules: warn about non-CNAME wildcards in RPZ

Merge !1827: Fix price overflow caused by high price_factor in ratelimiting, defer

daemon/defer: rewrite BASE_PRICE macro to function

doc/user: Fix typo in rate-limiting

Fix price overflow in ratelimiting, defer

Merge !1818: ruledb: drop the MDB_WRITEMAP flag

ruledb: drop the MDB_WRITEMAP flag

I like the property of mapping this memory as read-only.
All writes should have been deferred to the policy-loader,
at least in normal operation.

Merge !1816: fix luajit includedir when cross-compiling

Fix luajit includedir when cross-compiling

The use of --variable=includedir for luajit doesn't include the
root-directory when cross-compiling.

Signed-off-by: Nicolas PARLANT <nicolas.parlant@parhuet.fr>

Merge !1817: lib/rules: fix KR_RULE_SUB_REDIRECT

lib/rules: fix KR_RULE_SUB_REDIRECT

It's not commonly used, but it caused SERVFAIL.
Example name: foo.localhost.
Broken since v6.0.13, merge 0f0404f26 in particular.

Merge !1819: lib/cache: trim TTL of failing stashed packets

lib/cache: trim TTL of failing stashed packets

In particular, in STUB mode
(i.e. forwarding with dnssec:false + authoritative:false)
if a SERVFAIL packet from upstream contained also records,
this packet could be cached with long TTL.

This issue was reported by Qifan Zhang from Palo Alto Networks.

Additionally, let's apply our TTL limits for caching also
to the `cache-control: max-age=` HTTP header sent in DoH replies.