dnsdist: Suppress a warning from TSAN about our signal handler

We are calling `_exit()`, which is async-signal-safe according to
POSIX.

dnsdist: Implement an "atExit" Lua callback to clean up leftovers

dnsdist: Detect memory leaks during regression tests in CI

dnsdist: Enable memory leak detection in CI during regression tests

Merge pull request #14118 from jap/patch-2

[trivial] improve readability of the list of affected versions in advisory-2024-02

Merge pull request #14112 from rgacogne/quiche-0.21.0

dnsdist: Update Quiche to 0.21.0

Merge pull request #14139 from omoerbeek/rec-openbsd-iputils-followup

rec: followup to 14097: missed OpenBSD specfic case

Merge pull request #14131 from rgacogne/ddist-fix-sent-bytes-doh

dnsdist: Log the correct amount of bytes sent for DoH w/ nghttp2

rec: followup to 14097: missed OpenBSD specfic case

Merge pull request #14128 from rgacogne/ddist-nghttp2-ping

dnsdist: Reply to HTTP/2 PING frames immediately

Merge pull request #14097 from omoerbeek/tidy-iputils

Tidy iputils.hh and iputils.cc

remove struct so that clang-format does not insists laying out the var init over three lines.

Merge pull request #14138 from omoerbeek/rec-forw-docs

rec: fix two doc examples missing a colon

One more clang-tidy case that did not happen locally: add a cast

Formatting fixes

Extra tricky part: make_unique vs new

Tidy iputils.cc

First pass of tidy for iputils.hh

Format

rec: fix two doc examples missing a colon

fixes #14119

Merge pull request #14136 from sam-banks/master

Updated typo in DNSSEC intro documentation (ECSDA instead of ECDSA)

Updated typo in documentation (ECSDA instead of ECDSA)

dnsdist: Log the correct amount of bytes sent for DoH w/ nghttp2

dnsdist: Reply to HTTP/2 PING frames immediately

We usually buffer a bit to avoid sending a lot of small data chunks
on the wire (or to the kernel anyway), but for `HTTP/2 PING` frames
that are not followed by anything else calling for a response, this
causes an issue as these frames are designed to measure the latency
between a client and a server, and are used by HTTP/2 proxies to
ensure that a connection can be reused.

Merge pull request #14021 from Habbie/auth-lua-join-whitespace

auth LUA: make whitespace insertion on chunk combine optional

Merge pull request #14036 from romeroalx/meson-auth-ci

GH Actions - Meson: Build auth using meson in `build-and-test-all`.

Merge pull request #14061 from romeroalx/ci-runner-image-branch

GH actions - build-and-test-all: parameterize workflow to run different docker runner versions

Merge pull request #14085 from romeroalx/pip-doc-hashes

GH actions: check that only pinned pip packages are pulled when building docs

meson: enable systemd for auth-configure

simplify build-auth job

gh actions add meson build for auth

improve readability of affected versions in advisory 2024-02

dnsdist: Update Quiche to 0.21.0

Merge pull request #14078 from rgacogne/ddist-harvest-quic

dnsdist: Use the correct source IP for outgoing QUIC datagrams

Merge pull request #14076 from rgacogne/ddist-update-tuning-design-doc-for-doq-doh3

dnsdist: Update tuning/design documentation for DoQ and DoH3

Merge pull request #14104 from rgacogne/ddist-fix-abort-nghttp2_session_mem_recv

dnsdist: Fix a crash in incoming DoH with nghttp2

Merge pull request #14062 from franklouwers/patch-1

rec: Remove `current` from the extended error code binding descriptions

Merge pull request #14023 from omoerbeek/rec-proxy-physaddr

rec: add interface (not subject to proxy protocol substitutions) addresses in Lua DNSQuestion and corresponding FFI

Better wording in docs from @rgacogne

Co-authored-by: Remi Gacogne <github@coredump.fr>

dnsdist: Fix a crash in incoming DoH with nghttp2

This fixes an issue in the code dealing with incoming DNS over HTTPS
queries with the nghttp2 provider. In some rare cases, if the incoming
query is forwarded to the backend over TCP and the response comes back
immediately (the `read()` call done just after the `write()` call sending
the query must succeed and yield a complete response), the processing
of the response might end up calling `IncomingHTTP2Connection::readHTTPData()`
down the line, via the `nghttp2` callbacks, while we were already
inside this function. This does not actually work because
`nghttp2_session_mem_recv` is not reentrant, so the internal state of
the `nghttp2_session` object might become inconsistent and trigger
an assertion, for example:
```
nghttp2_session.c:6854: nghttp2_session_mem_recv2: Assertion `iframe->state == NGHTTP2_IB_IGN_ALL' failed.
```

This results in a call to `abort()` and very unlikely to be exploitable,
because there is no memory corruption occurring. It would also be quite
difficult for an attacker to trigger the conditions leading to this event
remotely.

Reported by Daniel Stirnimann from Switch and Stephane Bortzmeyer, many thanks to them.

Merge pull request #14102 from Habbie/2024-02-formatting

security advisory 2024-02: fix formatting

Merge pull request #14100 from Habbie/rec-cname-wc

rec: a name can be present already when building the cname chain

security advisory 2024-02: fix formatting

Merge pull request #14099 from Habbie/rec-prep-sec-2024-02

security advisory 2024-02+changelogs+secpoll

Merge pull request #14075 from romuald/backend-guide-clarification

Add clarification on backend writer guide

Merge pull request #14083 from rgacogne/fix-dnsdist-and-rec-home-dirs

dnsdist/rec: Change home directory to /var/lib/<product> on EL-based OSs

rec: Fix home directory location comment in the EL spec

dnsdist: Fix home directory location comment in the EL spec

Merge pull request #14037 from rgacogne/ddist-fix-odr

dnsdist: Fix "C++ One Definition Rule" warnings in XSK

Merge pull request #14070 from rgacogne/ddist-fix-dns-over-http-reload-all-certs

dnsdist: Fix DNS over plain HTTP broken by `reloadAllCertificates()`

Better wording

Co-authored-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #14049 from omoerbeek/rec-no-count-unsup-algos

rec: do not count RRSIGs using unsupported algorithms towards RRSIGs limit

gh actions: add scm and pbr to the spell-check allowed words

gh actions: check pip packages pulling when building docs

add pip pinning for dnsdist docs

add pip pinning for recursor docs

update list of pip packages pulled when building auth docs

Merge pull request #13772 from mortenstevens/patch-1

Change home directory to /var/lib/pdns

Merge pull request #14068 from omoerbeek/meson-libdecaf-followup

meson: don't assume libdecaf is present when declaring dependency

Prep for Security Advisory 2024-02

rec: Change home directory to /var/lib/pdns-recursor on EL-based OSs

dnsdist: Change home directory to /var/lib/dnsdist on EL-based OSs

auth: Remove trailing tab in builder-support/specs/pdns.spec

dnsdist: Fix clang-tidy warnings

dnsdist: Add regression for destination address harvesting with QUIC

dnsdist: Use the correct source IP for outgoing QUIC datagrams

And expose the correct destination IP to Lua.

dnsdist: Update tuning/design documentation for DoQ and DoH3

Add clarification on backend writer guide

For `getBeforeAndAfterNamesAbsolute()`, in case of proof of non
existence for a type (and not the name), the requested name should be
returned, **not** the name before it.

dnsdist: Fix DNS over plain HTTP broken by `reloadAllCertificates()`

This was introduced in 1.9.0, with the use of the `nghttp2` library
for incoming DNS over HTTP(S).

Merge pull request #14066 from PowerDNS/dependabot/pip/regression-tests.ixfrdist/dnspython-2.6.1

build(deps): bump dnspython from 2.1.0 to 2.6.1 in /regression-tests.ixfrdist

Merge pull request #14064 from PowerDNS/dependabot/pip/docs/idna-3.7

build(deps): bump idna from 3.4 to 3.7 in /docs

Merge pull request #14063 from PowerDNS/dependabot/pip/pdns/keyroller/idna-3.7

build(deps): bump idna from 3.4 to 3.7 in /pdns/keyroller

Merge pull request #14041 from rgacogne/ddist-fix-crash-tcp-downstream

dnsdist: Fix a crash in the Downstream TCP handler

Merge pull request #14050 from omoerbeek/dnsdist-syslog-default

dnsdist: syslog should be enabled by default

meson: don't assume libdecaf is present when declaring dependency

build(deps): bump dnspython in /regression-tests.ixfrdist

Bumps [dnspython](https://github.com/rthalley/dnspython) from 2.1.0 to 2.6.1.
- [Release notes](https://github.com/rthalley/dnspython/releases)
- [Changelog](https://github.com/rthalley/dnspython/blob/main/doc/whatsnew.rst)
- [Commits](https://github.com/rthalley/dnspython/compare/v2.1.0...v2.6.1)

---
updated-dependencies:
- dependency-name: dnspython
  dependency-type: direct:production
...

Signed-off-by: dependabot[bot] <support@github.com>

fix build-and-test-all debian-11

run build-and-test-all weekly on debian 11 containers

build-and-test-all: container image parameterized for jobs

build(deps): bump idna from 3.4 to 3.7 in /docs

Bumps [idna](https://github.com/kjd/idna) from 3.4 to 3.7.
- [Release notes](https://github.com/kjd/idna/releases)
- [Changelog](https://github.com/kjd/idna/blob/master/HISTORY.rst)
- [Commits](https://github.com/kjd/idna/compare/v3.4...v3.7)

---
updated-dependencies:
- dependency-name: idna
  dependency-type: indirect
...

Signed-off-by: dependabot[bot] <support@github.com>

build(deps): bump idna from 3.4 to 3.7 in /pdns/keyroller

Bumps [idna](https://github.com/kjd/idna) from 3.4 to 3.7.
- [Release notes](https://github.com/kjd/idna/releases)
- [Changelog](https://github.com/kjd/idna/blob/master/HISTORY.rst)
- [Commits](https://github.com/kjd/idna/compare/v3.4...v3.7)

---
updated-dependencies:
- dependency-name: idna
  dependency-type: indirect
...

Signed-off-by: dependabot[bot] <support@github.com>

Update dq.rst

Remove `current` from the dq.extendedError* docs. Keeping `current` suggests it's a read-only field

Merge pull request #14055 from fredmorcos/meson-systemd-services

Meson: `pdns-auth` and `ixfrdist` systemd service files

Merge pull request #14056 from romeroalx/revert-changes-13907

Revert "gh actions: wo issue 9491 - actions/runner-images"

Revert "gh actions: wo issue 9491 - actions/runner-images"

This reverts commit e0bf314e472d0c1d4bc1ff82d97cabf87be1e929.

Meson: Support pdns-auth and ixfrdist service files

Service files are treated like a config.h.in file. This adds support for a common base of
service file configuration options containing basic systemd feature checks.

Then, each of pdns-auth and ixfrdist have their own "general" and "instance" service files
that are generated from a common service file. This is why things like @Description@,
@ConfigName@ and @Config@ are made generic so that each version of the service file can
use it own string.

Meson: Add systemd feature support for service files

This moves things around a bit. Moves libsystem detection to
meson/libsystem/meson.build and uses meson/systemd/meson.build for
systemd/systemctl version and feature detection

Meson: Add basic support for systemd service file

Meson: Add system build flag

Merge pull request #14011 from Habbie/check-zone-svcb-lua-addr

pdnsutil check-zone: accept LUA A/AAAA as SVCB address targets

Merge pull request #14047 from zeha/s390xauth

auth dnsproxy: fix build on s390x

rec: do not count RRSIGs using unsupported algorithms toward RRSIGs limit

dnsdist: syslog should be enabled by default

Regression introduced with the logging refactoring of dnsdist.

In rel/dnsdist-1.8.x: https://github.com/PowerDNS/pdns/blob/4d5bb67a2a75f9d88894e7dfc42bbbebfda297b0/pdns/dnsdist.cc#L103 :

bool g_syslog{true};

In master and 1.9.x the newly intrdoduced LoggingConfiguration::s_syslog
is inited to false.

This does not matter using the default systemd unit file as it disables syslog:

ExecStart=@bindir@/dnsdist --supervised --disable-syslog

but it does matter for non-systemd cases.

auth LUA: (optionally) drop whitespace on join

fixes #14002

Merge pull request #14044 from romeroalx/remove-yq-snap

GH Actions: Remove yq snap dependency in collect job, workflow `build-and-test-all`

Use consistent terminology in the proxy mapping docs

Name the values "interface_localaddr" and "interface_remoteaddr" instead of "phys_..."

auth dnsproxy: fix build on s390x

Add test for cname already present for the forward case

Merge pull request #14042 from rgacogne/ddist-1.9.3-secpoll-changelog

dnsdist: Update secpoll and ChangeLog for 1.9.3