prep 9.11.36

Merge branch 'michal/prepare-documentation-for-bind-9.11.36' into 'security-v9_11'

Prepare documentation for BIND 9.11.36

See merge request isc-private/bind9!327

Merge branch '2899-security-disable-lame-cache-v9_11' into 'security-v9_11'

[CVE-2021-25219] [v9_11] Disable "lame-ttl" cache

See merge request isc-private/bind9!324

Prepare release notes for BIND 9.11.36

Add CHANGES and release note for [GL #2899]

Enable lame response detection even with disabled lame cache

Previously, when lame cache would be disabled by setting lame-ttl to 0,
it would also disable lame answer detection.  In this commit, we enable
the lame response detection even when the lame cache is disabled.  This
enables stopping answer processing early rather than going through the
whole answer processing flow.

Disable lame-ttl cache

The lame-ttl cache is implemented in ADB as per-server locked
linked-list "indexed" with <qname,qtype>.  This list has to be walked
every time there's a new query or new record added into the lame cache.
Determined attacker can use this to degrade performance of the resolver.

Resolver testing has shown that disabling the lame cache has little
impact on the resolver performance and it's a minimal viable defense
against this kind of attack.

Merge branch 'mnowak/debian-11-bullseye-v9_11' into 'v9_11'

[v9_11] Add Debian 11 (bullseye)

See merge request isc-projects/bind9!5526

Do not spawn Debian 9 CI jobs in merge requests

(cherry picked from commit 1b9a9c2829379d771249c8b508855d0863dcd919)

Add Debian 11 (bullseye)

(cherry picked from commit 2b5dfae5de5cc65258073d8cd4c650aa27dac3ea)

Merge branch 'mnowak/openbsd-7.0-v9_11' into 'v9_11'

[v9_11] Add OpenBSD 7.0

See merge request isc-projects/bind9!5524

Add OpenBSD 7.0

(cherry picked from commit 75e873ed9873c099d0eab4fef97b084e487572fa)

Merge branch '2933-bump-the-default-clang-version-to-13-v9_11' into 'v9_11'

Change the LLVM tools version to 13

See merge request isc-projects/bind9!5489

Change the LLVM tools version to 13

LLVM 13.0.0 was released on 4. October 2021, change the default version
to the current stable.

(cherry picked from commit 16916ab3e361774b4c8283715fc8712f18e37092)

Merge branch 'ondrej/add-python-3.8-check-v9_11' into 'v9_11'

Add python3.8 to the autoconf search list

See merge request isc-projects/bind9!5435

Add python3.8 to the autoconf search list

It was discovered that FreeBSD doesn't setup alias from default
Python version neither to python3 nor python, and thus the configure
step would fail to find working python installation.

Merge branch 'mnowak/replace-centos-with-oraclelinux-v9_11' into 'v9_11'

[v9_11] Replace CentOS 7 & 8 with Oracle Linux

See merge request isc-projects/bind9!5420

Replace CentOS 7 & 8 with Oracle Linux

(cherry picked from commit 3085edf1a0e1de7995ddee5fcaf1172fabf32696)

Merge branch '2866-split-gssapi-and-krb5-check-from-krb5-config-v9_11' into 'v9_11'

Fix the krb5-config usage (v9.11)

See merge request isc-projects/bind9!5393

Add CHANGES note for [GL ##2866]

Test various --with-gssapi options in GitLab CI

The implicit ./configure default is to use --with-gssapi=auto.  There is
already a GitLab CI job (gcc:stretch:amd64) which uses --without-gssapi.
Add four more forms of the --with-gssapi option to various GitLab CI job
configurations so that its every possible variant is regularly tested.

Call krb5-config with just one argument at the time

The autoconf script would call the krb5-config with both gssapi and krb5
libraries as arguments in a single call.  It turned out that this is
actually not supported and it breaks some platforms.  This commit splits
the call into two separate calls - one for gssapi and one for krb5
library.

Revert "Resolve 'Configuration issues on Solaris 11.4'" MR

The MR in question broke the configure script in different way,
so we are going to use a different fix.

Merge branch '1805-save-failed-build-artifacts-v9_11' into 'v9_11'

always save build artifacts

See merge request isc-projects/bind9!5365

always save build artifacts

(cherry picked from commit 221228572feba672121be5cb2df9417988a37bac)

Merge branch 'v9_11_35-release' into 'v9_11'

Merge 9.11.35 release branch

See merge request isc-projects/bind9!5340

Set up release notes for BIND 9.11.36

Bump BIND_BASELINE_VERSION for ABI checks

Merge branch 'prep-release' into v9_11_35-release

prep 9.11.35

Merge branch 'michal/prepare-documentation-for-bind-9.11.35' into 'v9_11_35-release'

Prepare documentation for BIND 9.11.35

See merge request isc-private/bind9!318

Prepare release notes for BIND 9.11.35

Tweak and reword release notes

Tweak and reword recent CHANGES entries

Merge branch 'mnowak/fix-pylint-v9_11' into 'v9_11'

Make kasp2policy.py PyLint-clean

See merge request isc-projects/bind9!5307

Make kasp2policy.py PyLint-clean

PyLint 2.9.5 reported the following errors:
    contrib/kasp/kasp2policy.py:25:0: R0402: Use 'from ply import yacc' instead (consider-using-from-import)
    contrib/kasp/kasp2policy.py:26:0: R0402: Use 'from ply import lex' instead (consider-using-from-import)

(cherry picked from commit 4e09411371bd93f9375f49e93c91d24d919c3530)

Merge branch 'v9_11_34-release' into 'v9_11'

Merge 9.11.34 release branch

See merge request isc-projects/bind9!5303

Set up release notes for BIND 9.11.35

Bump BIND_BASELINE_VERSION for ABI checks

Merge branch 'prep-release' into v9_11_34-release

prep 9.11.34

Merge branch 'michal/prepare-documentation-for-bind-9.11.34' into 'v9_11_34-release'

Prepare release notes for BIND 9.11.34

See merge request isc-private/bind9!310

Prepare release notes for BIND 9.11.34

Merge branch '2473-run-respdiff-as-part-of-daily-runs-v9_11' into 'v9_11'

[v9_11] Run respdiff also for scheduled and web pipelines

See merge request isc-projects/bind9!5298

Run respdiff also for scheduled and web pipelines

respdiff needs to be run regularly to identify problems with query
responses discrepancies sooner than after tagging a release.

Contrary to the main branch, which hosts the BIND 9 Development Version
and thus sets MAX_DISAGREEMENTS_PERCENTAGE variable to 0.5, branches
hosting BIND 9 Stable Versions have it set to 0.1, which provides only
tiny room for non-timeout response disagreements between the baseline
version and version under test.

(cherry picked from commit 561b58196bfe75fbbea4598b214afd7fffe2b537)

Merge branch '2762-check-opcode-v9_11' into 'v9_11'

Check opcode of messages returned by dns_request_getresponse

See merge request isc-projects/bind9!5288

add release note for [GL #2762]

(cherry picked from commit 36720fb4a6433e276adcf6d81c04fdeeb8851a5c)

Add CHANGES for [GL #2762]

(cherry picked from commit 466db0f49e5d7c1426e75f95d9734415564c3334)

check nsupdate handles UPDATE response to QUERY

(cherry picked from commit 0bba0ab10d59a785e214d03d3ef4c541725a1823)

dns_rdata_tostruct() should reject rdata with DNS_RDATA_UPDATE set

(cherry picked from commit e97249e01270ab43065e3a7d6ba3f5a36593a2c4)

Check opcode of messages returned by dns_request_getresponse

(cherry picked from commit ed4e00713fa52d361b2bbf0eeae80a6da7323255)

Merge branch 'mnowak/replace-literal-blocks-with-anchors-v9_11' into 'v9_11'

[v9_11] Use anchors instead of literal blocks in .gitlab-ci.yml

See merge request isc-projects/bind9!5280

Use anchors instead of literal blocks in .gitlab-ci.yml

Anchor lets the user see the full command logged in GitLab CI:

    ${CONFIGURE} --disable-maintainer-mode --enable-developer ...

Instead of a folded multi-line when literal block is used:

    ${CONFIGURE} \ # collapsed multi-line command

(cherry picked from commit c22008629ec7c5decd80fe233cd507fbce993fe6)

Merge branch 'marka-xmllint-html-v9_11' into 'v9_11'

Check for errors in html files

See merge request isc-projects/bind9!5244

Check for errors in html files

xmllint doesn't know about the HTML 5 <section> tag so filter
those out.

(cherry picked from commit ea0624b214638cb8b2ac1f1c4ac8ef3fd44bfb32)

Merge branch '2667-configuration-issues-on-solaris-11-4' into 'v9_11'

Resolve "Configuration issues on Solaris 11.4"

See merge request isc-projects/bind9!4996

Solaris native compiler configure fixes

* Drop '-mt' from '$CC'
* Use '$CC -V' for version in summary

add gssapi_hack, gssapi_krb5_hack and gssapi_krb5_hack to krb5-config

add --with-gssapi=krb5-config to pairwise

check for gssapi_krb5.h and gssapi/gssapi_krb5.h

have --with-gssapi={auto|yes} try krb5-config

don't fallback if krb5-config fails

handle krb5-config not being present; drop krb5 from krb5-config call

Merge branch '2183-enable-DF-on-old-socket-code-v9_11' into 'v9_11'

Disable the PMTUD also for the IPv6 UDP sockets

See merge request isc-projects/bind9!5233

Disable the PMTUD also for the IPv6 UDP sockets

Disable the PMTUD also on the IPv6 UDP sockets in addition to IPv4 UDP
sockets.

Merge branch 'mnowak/alpine-3.14-v9_11' into 'v9_11'

[v9_11] Add Alpine Linux 3.14

See merge request isc-projects/bind9!5193

Add Alpine Linux 3.14

(cherry picked from commit 80f828bc3741ee3ba304b5d36dd1f79fc2ad77c1)

Merge branch 'v9_11_33-release' into 'v9_11'

Merge 9.11.33 release branch

See merge request isc-projects/bind9!5188

Set up release notes for BIND 9.11.34

Bump BIND_BASELINE_VERSION for ABI checks

Merge branch 'prep-release' into v9_11_33-release

Merge branch 'michal/prepare-documentation-for-bind-9.11.33' into 'v9_11_33-release'

Prepare documentation for BIND 9.11.33

See merge request isc-private/bind9!301

prep 9.11.33

Prepare release notes for BIND 9.11.33

Merge branch 'ondrej/bump-clang-dependency-to-llvm-12-v9_11' into 'v9_11'

Change the LLVM tools version to 12 (v9.11)

See merge request isc-projects/bind9!5176

Change the LLVM tools version to 12

LLVM 12 stable was released on 15. April 2021, change the default
version to the current stable.

(cherry picked from commit 9f7855322c763a1ae509eeaa2b8be83be5c180ce)

Merge branch '2540-check-dname-resolution-via-itself-v9_11' into 'v9_11'

[v9_11] Check DNAME resolution via itself

See merge request isc-projects/bind9!5137

Check DNAME resolution via itself

(cherry picked from commit cbdea694e84e9ce7d112dd64230c8d1e2208b211)

Merge branch '2467-add-a-system-test-checking-a-malformed-ixfr-v9_11' into 'v9_11'

[v9_11] Add a system test checking a malformed IXFR

See merge request isc-projects/bind9!5134

Add a system test checking a malformed IXFR

Make sure an incoming IXFR containing an SOA record which is not placed
at the apex of the transferred zone does not result in a broken version
of the zone being served by named and/or a subsequent crash.

(cherry picked from commit 5547003a3d41f42f9c086d959e0e5df4240ccd4d)

Merge branch 'mnowak/add-fedora-34-v9_11' into 'v9_11'

[v9_11] Add Fedora 34

See merge request isc-projects/bind9!5114

Add Fedora 34

(cherry picked from commit 5f27aaa0ff3c471a8a90340f2fe5eb62e43571ab)

Merge branch 'mnowak/install-bind-by-setting-DESTDIR-v9_11' into 'v9_11'

[v9_11] Install BIND with "make DESTDIR=<PATH> install"

See merge request isc-projects/bind9!5092

Install BIND with "make DESTDIR=<PATH> install"

BIND installation should be done by setting $DESTDIR during "make
install", not by setting --prefix via ./configure to the destination
directory. However, on 9.11 --prefix still needs to be set to eliminate
the compatibility mode with older BIND9 releases (see the comment in
configure.ac, lines 379-396), which does not place sysconfdir and
localstatedir to $DESTDIR/$prefix but directly to $DESTDIR. When
--prefix is set they end up in $DESTDIR/$prefix, which is the BIND 9.16+
default).

    $ ./configure && make && make install DESTDIR=/tmp/bind9
    $ ls /tmp/bind9/{,usr/local}
    /tmp/bind9/:
    etc  usr  var
    /tmp/bind9/usr/local:
    bin  include  lib  sbin  share

    $ ./configure --prefix=/usr/local && make && make install DESTDIR=/tmp/bind9
    $ ls /tmp/bind9/{,usr/local}
    /tmp/bind9/:
    usr
    /tmp/bind9/usr/local:
    bin  etc  include  lib  sbin  share  var

Make sure that installation with DESTDIR=<PATH> works by checking that
named binary and it's respective man page were installed and that
well-known BIND9 directories - and only them - are present in DESTDIR.

Also rename install path variable from BIND_INSTALL_PATH to
INSTALL_PATH to avoid namespace clash in stress tests which use
BIND_INSTALL_PATH variable to configure path to BIND9 binaries.

(cherry picked from commit 823bf3e79ba8f287b63d2e6ec5006d091c8c54e8)

Merge branch 'ondrej/replace-ubuntu-xenial-with-ubuntu-bionic-v9_11' into 'v9_11'

Replace Ubuntu 16.04 LTS with Ubuntu 18.04 LTS in the GitLab CI (v9.11)

See merge request isc-projects/bind9!5089

Replace Ubuntu 16.04 LTS with Ubuntu 18.04 LTS in the GitLab CI

Ubuntu 16.04 (Xenial Xerus) is reaching End of Standard Support in April
2021 thus we are removing it from the list of supported platforms and
replacing it with Ubuntu 18.04 LTS (Bionic Beaver).

(cherry picked from commit 4402a90bb770a77a36a35ce25a69872c8a34c56b)

Merge branch 'mnowak/freebsd-13-v9_11' into 'v9_11'

[v9_11] Add FreeBSD 13.0

See merge request isc-projects/bind9!5087

Run gcc:tarball CI job for merge requests

Running gcc:tarball CI job for merge requests is consistent with how we
run gcc:out-of-tree CI job and should help identify problems with the
build system during the review process, not once merged during daily
runs. For the sake of time, unit and system tests associated with the
gcc:tarball CI job are excluded from merge requests.

Also, make sure that the tarball-create CI job includes the
default_triggering_rules anchor (as it is on the main branch), otherwise
adding the gcc:tarball CI job to merge request-triggered pipeline fails
with:

    Found errors in your .gitlab-ci.yml: 'gcc:tarball' job needs 'tarball-create' job but it was not added to the pipeline

(cherry picked from commit 83617cea9a7ac4b877b0874d041d21d80eb36fac)

Do not spawn FreeBSD 11 CI jobs in merge requests

(cherry picked from commit 70eccd29526cbfab7b3032072dddbe37201ed254)

Create an anchor for schedules, tags, and web rules

It's a common pattern to spawn CI jobs only for pipelines triggered by
schedules, tags, and web. There should be an anchor so that the rules
are not repeated.

(cherry picked from commit e4f88c359c85c2f084901289e3406c80674368ff)

Add FreeBSD 13.0

(cherry picked from commit 0714fe6f40456bc6cfb6797f39d592a718670db6)

Merge branch '2452-iterated_hash-c-warning-argument-1-of-type-unsigned-char-20-with-mismatched-bound' into 'v9_11'

Fix argument with mismatched bound in isc_iterated_hash()

See merge request isc-projects/bind9!5039

Fix argument with mismatched bound in isc_iterated_hash()

GCC 11 produced the following warning:

    iterated_hash.c:21:33: warning: argument 1 of type ‘unsigned char[20]’ with mismatched bound [-Warray-parameter=]
       21 | isc_iterated_hash(unsigned char out[ISC_SHA1_DIGESTLENGTH],
          |                   ~~~~~~~~~~~~~~^~~~~~~~~~~~~~~~~~~~~~~~~~
    In file included from iterated_hash.c:18:
    ./include/isc/iterated_hash.h:33:37: note: previously declared as ‘unsigned char[155]’
       33 | int isc_iterated_hash(unsigned char out[NSEC3_MAX_HASH_LENGTH],
          |                       ~~~~~~~~~~~~~~^~~~~~~~~~~~~~~~~~~~~~~~~~

Merge branch '2453-sha2-c-warning-argument-with-mismatched-bound' into 'v9_11'

Fix arguments with mismatched bound in lib/isc/sha2.c

See merge request isc-projects/bind9!5038

Fix arguments with mismatched bound in lib/isc/sha2.c

GCC 11 produced the following warnings:

    sha2.c:888:26: error: argument 1 of type ‘uint8_t[]’ {aka ‘unsigned char[]’} with mismatched bound [-Werror=array-parameter=]
      888 | isc_sha224_final(uint8_t digest[], isc_sha224_t *context) {
          |                  ~~~~~~~~^~~~~~~~
    In file included from sha2.c:58:
    ./include/isc/sha2.h:132:24: note: previously declared as ‘uint8_t[28]’ {aka ‘unsigned char[28]’}
      132 | void isc_sha224_final (uint8_t[ISC_SHA224_DIGESTLENGTH], isc_sha224_t *);
          |                        ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    sha2.c:1151:26: error: argument 1 of type ‘uint8_t[]’ {aka ‘unsigned char[]’} with mismatched bound [-Werror=array-parameter=]
     1151 | isc_sha256_final(uint8_t digest[], isc_sha256_t *context) {
          |                  ~~~~~~~~^~~~~~~~
    In file included from sha2.c:58:
    ./include/isc/sha2.h:139:24: note: previously declared as ‘uint8_t[32]’ {aka ‘unsigned char[32]’}
      139 | void isc_sha256_final (uint8_t[ISC_SHA256_DIGESTLENGTH], isc_sha256_t *);
          |                        ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    sha2.c:1514:31: error: argument 1 of type ‘uint8_t[]’ {aka ‘unsigned char[]’} with mismatched bound [-Werror=array-parameter=]
     1514 | void isc_sha512_final(uint8_t digest[], isc_sha512_t *context) {
          |                       ~~~~~~~~^~~~~~~~
    In file included from sha2.c:58:
    ./include/isc/sha2.h:153:24: note: previously declared as ‘uint8_t[64]’ {aka ‘unsigned char[64]’}
      153 | void isc_sha512_final (uint8_t[ISC_SHA512_DIGESTLENGTH], isc_sha512_t *);
          |                        ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    sha2.c:1567:26: error: argument 1 of type ‘uint8_t[]’ {aka ‘unsigned char[]’} with mismatched bound [-Werror=array-parameter=]
     1567 | isc_sha384_final(uint8_t digest[], isc_sha384_t *context) {
          |                  ~~~~~~~~^~~~~~~~
    In file included from sha2.c:58:
    ./include/isc/sha2.h:146:24: note: previously declared as ‘uint8_t[48]’ {aka ‘unsigned char[48]’}
      146 | void isc_sha384_final (uint8_t[ISC_SHA384_DIGESTLENGTH], isc_sha384_t *);
          |                        ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    sha2.c:1604:44: error: argument 2 of type ‘char[]’ with mismatched bound [-Werror=array-parameter=]
     1604 | isc_sha224_end(isc_sha224_t *context, char buffer[]) {
          |                                       ~~~~~^~~~~~~~
    In file included from sha2.c:58:
    ./include/isc/sha2.h:133:39: note: previously declared as ‘char[57]’
      133 | char *isc_sha224_end (isc_sha224_t *, char[ISC_SHA224_DIGESTSTRINGLENGTH]);
          |                                       ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    sha2.c:1645:44: error: argument 2 of type ‘char[]’ with mismatched bound [-Werror=array-parameter=]
     1645 | isc_sha256_end(isc_sha256_t *context, char buffer[]) {
          |                                       ~~~~~^~~~~~~~
    In file included from sha2.c:58:
    ./include/isc/sha2.h:140:39: note: previously declared as ‘char[65]’
      140 | char *isc_sha256_end (isc_sha256_t *, char[ISC_SHA256_DIGESTSTRINGLENGTH]);
          |                                       ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    sha2.c:1686:44: error: argument 2 of type ‘char[]’ with mismatched bound [-Werror=array-parameter=]
     1686 | isc_sha512_end(isc_sha512_t *context, char buffer[]) {
          |                                       ~~~~~^~~~~~~~
    In file included from sha2.c:58:
    ./include/isc/sha2.h:154:39: note: previously declared as ‘char[129]’
      154 | char *isc_sha512_end (isc_sha512_t *, char[ISC_SHA512_DIGESTSTRINGLENGTH]);
          |                                       ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    sha2.c:1727:44: error: argument 2 of type ‘char[]’ with mismatched bound [-Werror=array-parameter=]
     1727 | isc_sha384_end(isc_sha384_t *context, char buffer[]) {
          |                                       ~~~~~^~~~~~~~
    In file included from sha2.c:58:
    ./include/isc/sha2.h:147:39: note: previously declared as ‘char[97]’
      147 | char *isc_sha384_end (isc_sha384_t *, char[ISC_SHA384_DIGESTSTRINGLENGTH]);
          |                                       ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    cc1: all warnings being treated as errors

Merge branch 'v9_11_32-release' into 'v9_11'

Merge 9.11.32 release branch

See merge request isc-projects/bind9!5070

Set up release notes for BIND 9.11.33

Bump BIND_BASELINE_VERSION for ABI checks

Merge branch 'prep-release' into v9_11_32-release

Merge branch 'michal/prepare-documentation-for-bind-9.11.32' into 'v9_11_32-release'

Prepare documentation for BIND 9.11.32

See merge request isc-private/bind9!295