Make sure we won't try to mdb_txn_abort a failing mdb_txn_commit.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Make sure lines outputting to cerr are passive.

(i.e. they don't invoke lmdb function).

This will make easier to replace them with structured logging or whatever
in a hypothetical future.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Be sure never to leave pending transactions upon error.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17762 from omoerbeek/rec-wildcard-cname-proof-validation-bypass

rec: Wildcard CNAME proof validation bypass

Two coverity fixes

I hope compilers are smart enough to see that the bottom of the function cannot be reached
(clang is happy with the missing return).

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #16932 from rgacogne/ddistrecvmmsg-from-backends

dnsdist: Add `recvmmsg` support for backend responses

rec: Consistenly use the CacheEntry fields

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

rec: Update the validation of previously inserted records when encountering a DNSSEC validation failure

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

rec: NSEC and NSEC3 records in authority need to be validated

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

rec: Add a unit test for Palo Alto's wildcard CNAME proof validation bypass

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

rec: Simplify existing unit test

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #17761 from omoerbeek/rec-wildcard-rrsig-labels

rec: RRSIGs with too few labels can lead to bypass of DNSSEC wildcard validation

dnsdist: Be explicit about when the buffer might have been resized

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Do not abort() if we can throw an exception instead.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Do not call abort() if we can't correctly close the database connexion.

This does not help anything.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17754 from miodvallat/cnaaaame

auth: add a test for #2625

Merge pull request #17769 from omoerbeek/rec-nsec-next-out-of-zone

rec: reject NSECs whose next names are out of the zone earlier

Handle include directives lacking semicolons in the lexer.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Add option nodefault.

This disables the default behaviour of simply ECHOing unknown tokens. It
will now error with "flex scanner jammed", and we can fix the lexer.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Turn BindParser lexer errors into proper exceptions.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17753 from Support-itecz/ctype-unsigned-char

Do not pass signed char to ctype functions in text parsers

Merge pull request #17768 from omoerbeek/auth-geoip-clang-warning

Fix warning: anonymous non-C-compatible type given name for linkage purposes by alias declaration

Fix warning: anonymous non-C-compatible type given name for linkage purposes by alias declaration; add a tag name here

In file included from ../pdns/../modules/geoipbackend/geoipinterface.hh:25:
../pdns/../modules/geoipbackend/geoipbackend.hh:59:25: warning: anonymous non-C-compatible type given name for linkage purposes by alias declaration; add a tag name here [-Wnon-c-typedef-for-linkage]
   59 |   using state_t = struct
      |                         ^
      |                          state_t
../pdns/../modules/geoipbackend/geoipbackend.hh:61:5: note: type is not C-compatible due to this default member initializer
   61 |     unsigned int instance_count{0};
      |     ^~~~~~~~~~~~~~~~~~~~~~~~~~~
../pdns/../modules/geoipbackend/geoipbackend.hh:59:9: note: type is given name 'state_t' for linkage purposes by this alias declaration
   59 |   using state_t = struct
      |         ^
1 warning generated.

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Fix clang-tidy complaints

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #17767 from PowerDNS/omoerbeek-patch-1

Correct CVE number in title

Correct CVE number in title

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Set default nta_extended_error to off

Signed-off-by: Babak Farrokhi <babak@farrokhi.net>

res: only attach EDE 33 to queries subject to validation

Fix a condition where a cache hit from record-cache copied validation
status, regardless of whether a client asked for validation or not.

Signed-off-by: Babak Farrokhi <babak@farrokhi.net>

Emit EDE 33 (Negative Trust Anchor) on NTA-covered responses

When a Negative Trust Anchor is in effect, attach an EDNS Extended Error
with info-code 33 to insecure answers whose queried name (or a chased
CNAME target) is covered by the NTA, giving clients an in-band signal
that an NTA applies to the name. The signal only indicates coverage, and
does not imply that the NTA caused insecurity.

Controlled by the new `dnssec.nta-extended-error` setting, enabled by
default. This is for diagnostic purposes only: the validation state and
the AD bit are left intact.

Defined in draft-farrokhi-dnsop-ede-nta ("Disclosure of Negative Trust
Anchors in DNS Responses"):
https://datatracker.ietf.org/doc/draft-farrokhi-dnsop-ede-nta/

Signed-off-by: Babak Farrokhi <babak@farrokhi.net>

Merge pull request #17749 from miodvallat/vector_like_a_pirate

Prefer std::array to std::vector for const values

Merge pull request #17758 from omoerbeek/rec-prep-20260722

rec: prep for 2026-07-22 security release

rec: prep for 2026-07-22 security release

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Add a test for #2625

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Do not pass signed char to ctype functions in text parsers

Signed-off-by: Itecz Solution <support@itecz.au>

Merge pull request #17750 from omoerbeek/ddist-fix-compilation

dnsdist: fix compilation on platforms lacking quiche_conn_set_qlog_path()

constexpr'r'us

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Use std::array instead of std::vector for const values whenever possible.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

lmdbbackend: bounds-check compoundOrdername key decoders

Signed-off-by: Itecz Solution <support@itecz.au>

dnsdist: avoid a few compiler warnings about unused args/vars

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

dnsdist: quiche_conn_set_qlog_path() is not available always

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #17748 from omoerbeek/rec-ghost-refresh

rec: do not attempt to refresh NS records in refresh-almost-expired.

rec: do not attempt to refresh NS records in refresh-almost-expired.

If the auth responds *very* slowly and the records expire in between,
the capping of TTLs is not enforced for lack of data.

This does not happen on regular resolve as then then the child
records are used immediately if not expired and thus valid, or the
records *are* expired, and in that case not used.  So this case can
only happen if almost expired records are used to refresh the
authoritative NS records.

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

dnsdist: Document that `setUDPMultipleMessagesVectorSize` now applies to UDP responses as well

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17747 from rgacogne/ddist-handle-error-dynamic-rule-suffix-match

dnsdist: Gracefully handle errors in DynBlock's suffix match policy

dnsdist: Add `recvmmsg` support for backend responses

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17746 from omoerbeek/rec-named-bind-fixes

rec: SO_BINDTODEVICE is not available everywhere

rec: SO_BINDTODEVICE is not available everywhere

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #17740 from rgacogne/ddist-yaml-exceptions

dnsdist: Improve exception handling when parsing our YAML configuration

Merge pull request #17728 from miodvallat/bounce

do not use str{n,}casecmp for DNS names

Remove test now that it would no longer fail.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Extra const

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Remove dead weight from Utility class.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Use makeIPv4sockaddr instead of inet_pton for IPv4 ComboAddress.

Fixes: #6149
Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

ruff

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Add a regression test for PDNSException raised from C++ while parsing a YAML configuration file

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Gracefully handle errors in DynBlock's suffix match policy

There is no need to stop the whole processing if we choked on one entry,
or even could not properly insert one new rule.

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Fix formatting in the Rust bridge

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Rebuild the Rust library when the Rust bridge is modified

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Properly handle PDNSException in our Rust library

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

pdnsexception: Stop importing various namespaces

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17738 from miodvallat/lortnocenoz

auth tests: more scrutinization

Perform more thorough zone contents checks.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

When there is a single rrset, we can perform an equality check.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Mention the list of oracle files checked for, in case of test failures.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17721 from miodvallat/some_enchanted_afternoon

auth: ignore the closing SOA record in IXFR-turned-AXFR

Merge pull request #17722 from miodvallat/swallow

pdnsutil b2b-migrate: also copy zone options and catalog membership

Merge pull request #17729 from pieterlexis/ywh-ixfrdist

fix(ixfrdist): Allow 64K AXFR chunks

fix(ixfrdist): Allow 64K AXFR chunks

This was changed in #8051 for performance (compression) reasons. But
this would limit each AXFR chunk to 16K, so *large* TXT records (over
16K) could not be transferred out by ixfrdist.

This commit uses a 64K limit once when a chunk was truncated twice (once
can happen after any number of records, the second time would mean
truncation on a single record, when the second happens, we error).

Discovered by Haruto Kimura (Stella), thanks!

Merge pull request #17731 from miodvallat/luampire

auth: Lua2 backend: more robust script results parsing

Pay more attention to boost::variant types.

This allows record contents made of digits only to be correctly handled as
strings.

Fixes: #10657
Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Wrap boost::get checks into exception guards.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

clang-tidize

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Move Lua2BackendAPIv2 method bodies from .hh to .cc. NFC

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

dnsdist: Properly deal with exceptions when registering objects from YAML

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

clang-tidize.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Look, ma, no more strncasecmp!

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Replace the use of strncasecmp with pdns_ilexicographical_compare_three_way.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Replace the use of strncasecmp with pdns_ilexicographical_compare_three_way.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17719 from rgacogne/ddist-fix-drop-response-quic

dnsdist: Fix the dropping of responses for DoQ and DoH3 queries

Explain why we can't have nice things.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Replace the use of str{n,}casecmp with pdns_ilexicographical_compare_three_way.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17727 from romeroalx/fix-verify-pkg-137

requirements.txt: update version of pinned packages

Move pdns_i*() from misc.hh to dnsname.hh. NFCI

This will avoid future chicken-and-egg problems.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

requirements.txt: update version of pinned packages

Merge pull request #17723 from miodvallat/shaolin_satellite

auth: report remote in "unable to get SOA" messages

Report the remote queried in "Unable to retrieve SOA" messages.

Fixes: #12564
Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Pour some syntactic sugar. NFC

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

dnsdist: Fix awful typo

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17701 from pieterlexis/dnsdist-spoof-ttl

feat(dnsdist): Allow setting TTL in DNSQuestion:spoof

dnsdist: Document the return values of some process* functions

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17720 from rgacogne/ddist-add-response-consistency-check-quic

dnsdist: Add the same basic response consistency check for DoQ/DoH3-originated queries

Copy zone options and catalog in pdnsutil b2b-migrate.

Fixes: #12879
Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17618 from pieterlexis/dnsdist-otlp-remote-logger

dnsdist: Implement OTLP RemoteLogger

feat(dnsdist): Allow setting TTL in DNSQuestion:spoof

Closes: #16470

Merge pull request #17700 from pieterlexis/dnsdist-trace-traceid-in-slog

dnsdist: Log TraceID in structured logs (when available)

Document that pdnsutil zone copy does not copy options and catalog.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Ignore the closing SOA record in IXFR-turned-AXFR.

Fixes: #12984
Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

dnsdist: Add the same basic response consistency check for DoQ/DoH3 queries

This check is only useful when the response has been received from the backend
over UDP, which is currently not supported for DoQ/DoH3 queries, and only to prevent
collisions as we otherwise do not validate the content of the response before forwarding
it to the client, but AI tools keep reporting this as a critical security issue. In any
case it will make sense to have this check once we support using UDP to the backend
for DoQ/DoH3-originated queries.

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Fix the dropping of responses for DoQ and DoH queries

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17716 from miodvallat/overoptimism

auth: stop being an optimist