OSPF: Fix OOB read in Router-LSA validation

The missing check in lsa_validate_rt2() may lead to OOB read in OSPFv2
Router-LSA validation for malformed Router-LSAs. The OSPFv3 case is in
fact safe, but the patch improves these checks in uniform way.

Reported-By: TristanInSec@gmail.com

Fix several issues in Flowspec handling

The patch fixes several issues in Flowspec handling, namely:

 - Out-of-bounds read during flowspec validation
 - Rejection of NLRI for anomalies that MUST be ignored
 - Incorrect check of operand lengths
 - Broken label component construction
 - Broken formatting of IPv6 prefixes with specific offsets

The first issue was reported by multiple people in recent time.

The second issue found by Bronson Yen of Calif.io in collaboration
with Claude and Anthropic Research.

Netlink: Skip stats in interface dumps

Gathering interface statistics can be a relatively expensive operation
on certain systems as it requires iterating over all the cpus.

This patch instructs the kernel to omit device statistics,
when scanning devices, as the statistics aren't used by BIRD.

Kernel-side support for this was added in Linux v4.4 in commit
d5566fd72ec1 ("rtnetlink: RTEXT_FILTER_SKIP_STATS support to avoid
dumping inet/inet6 stats"), this saves 368 bytes of statistics.

In the Linux v6.19 commit 105bae321862 ("rtnetlink: honor
RTEXT_FILTER_SKIP_STATS in IFLA_STATS"), it is expanded to skip more
statistics bringing the savings to 800 bytes per device.

Edited-By: Ondrej Zajicek <santiago@crfreenet.org>

Netlink: Enable and decode extended acknowledgements

This patch adds support for extended acknowledgements. While
there are more attributes, this patch only adds support for the
extended error message, and uses it to augment the return code.

We don't check the return value of setsockopt(), as any message with
extended acknowledgements will have NLM_F_ACK_TLVS set in nlmsg_flags.

NETLINK_EXT_ACK / NLM_F_ACK_TLVS / NLMSGERR_ATTR_MSG was all added in
Linux v4.12 commit 2d4bc93368f5 ("netlink: extended ACK reporting"), so
AFAICT theres no need to add them to netlink-sys.h

Based on the patch from Asbjørn Sloth Tønnesen <ast@2e8.dk>, thanks!

Netlink: Skip request payload in acknowledgements

Set NETLINK_CAP_ACK, as we don't need a full copy of the request
payload, so it's "rather wasteful"[1] to not set NETLINK_CAP_ACK.

We don't check the return value of setsockopt(), as any capped
message will have NLM_F_CAPPED set in nlmsg_flags.

NETLINK_CAP_ACK was introduced in Linux v4.3 commit 0a6a3a23ea6e
("netlink: add NETLINK_CAP_ACK socket option"), and so AFAICT it
doesn't need to be added to netlink-sys.h.

[1] https://docs.kernel.org/userspace-api/netlink/intro.html

Netlink: Enable strict checking on nl_req

Enable strict checking of netlink messages on the nl_req connection,
so it is enabled on both connections.

Also rename the function to remove "_dump" suffix, as it's a generic
option.

Strict checking was originally called NETLINK_DUMP_STRICT_CHK,
but was renamed to NETLINK_GET_STRICT_CHK, as it should apply to
all calls, not only dumps (Linux commmit d3e8869ec826).

When set on nl_req, we don't need to check the return code, as it will
fail on nl_scan as well, and so one log message should be enough and
unlike nl_scan, we don't need to alter the mode of operation.

NEWS and version update

Docs: Fix BMP note

We already compile it by default.

Doc: Basic documentation for Bridge protocol

Doc: Basic documentation for EVPN protocol

Doc: Ethernet and EVPN support

Document ethernet and EVPN nettypes and associated BGP channels and
attributes.

Doc: Add ASPA nettype

Edited-By: Ondrej Zajicek <santiago@crfreenet.org>

Filter: Add access function for ASN for NET_ASPA

Fixes: #369

CI: Add basic EVPN tests

EVPN: BGP/MPLS Ethernet VPNs using VXLAN tunnels - preliminary support

The EVPN protocol implements RFC 7432 BGP Etherent VPNs using VXLAN overlays.
It works similarly to L3VPN. It connects ethernet table (one per VRF) with
(global) EVPN table. Routes passed from EVPN table to ethernet table are
stripped of RD and filtered by import targets, routes passed in the other
direction are extended with RD, MPLS/VNI labels, and export targets in
extended communities.

When VLANs are configured in EVPN protocol, vlan requests are sent to
Bridge protocol, who configures these VLANs on VXLAN interface in kernel.

Minor contributions by Igor Putovny

Thanks to Pim van Pelt and Tomáš Matuš for comments and patches!

Bridge: Linux bridge interface - preliminary support

The Bridge protocol synchronizes BIRD eth table with Linux kernel bridge
forwarding table. It works analogously to the Kernel protocol, but for
ethernet FDB entries instead of IP routes. The instance of Bridge
protocol is associated with the specific Linux bridge device.

The Bridge protocol handles not only bridge forwarding entries, but also
VXLAN forwarding entries, as Linux kernel VXLAN tunnel device manages its
own forwarding table, with IPs of remote endpoints.

Note that we use ethernet route next_hop to store VXLAN forwarding
address, instead of dedicated route attribute. That is preliminary and
will change in the future.

The Bridge protocol uses netlink to scan VLANs on associated interfaces,
listens to vlan requests from other protocols (EVPN), keeps state of
both desired and actual state of VLANs, and configure VLANs on managed
interfaces according to received requests.

Refactoring: use designated initializers in resclass initialization

This is a preparatory update to have easier development later,
as we expect to rework resource freeing significantly.

Issue: #373

Nest: Pub/sub queue for VLAN requests

Publishers (EVPN protos) can send requests for VLANs, subscribers
(Bridge protos) will process them.

Lib: Publish/subscribe queues

Implement a publish/subscribe messaging system with dynamic topic
management and resource tracking. The system allows multiple publishers
to send messages to named topics, which are then distributed to all
subscribers of those topics. Publishers and subscribers are managed as
resources and and automatically cleaned up when destroyed.

Netlink: Add parsing of bridge and VXLAN interface attributes

Thanks to Tomáš Matuš for bugfix!

Nest: Add attributes to interface structures

BGP: PMSI tunnel attribute support

Add support for BGP PMSI tunnel attribute (RFC 6514), specifically
ingress replication type. This is required for EVPN IMET routes.

BGP: EVPN NLRI - preliminary support

Add basic support for EVPN NLRI in BGP (RFC 7432). Route types 1-4
(E-AD, MAC, IMET, ES) are supported as well as routes of unknown type.

MPLS labels are decoded as VNIs in style of RFC 8365, but stored using
existing BIRD MPLS attributes.

Note that ethernet segment ID on MAC route type is currently ignored.

Thanks to Pim van Pelt and Tomáš Matuš for comments and patches!

Filter: Ethernet and EVPN support

Add mac filter type (for mac_addr) and various accessors for ethernet
and EVPN net types (mac, vlan_id, evpn_type, evpn_tag, evpn_esi mac, rd,
ip, router_ip).

Nest: Ethernet net type

Add ethernet net type and operations, config grammar and static protocol
support. Ethernet net type may include VLAN ID.

Nest: EVPN net type

Add EVPN network type and its operations, config grammar and basic
support for mac_addr type representing MAC address.

CI: Enabling build for Fedora 44, disabling 32

... to keep latest 12 versions

CI: Enabling build for Ubuntu 26.04

CI: Disable Ubuntu 22.04 crossbuild for riscv64

It needs to link libatomic.so.1 which isn't present for unknown
reasons and we don't have time to diagnose that.

CI: Automatically retry failed unit test with verbose option

To spare time, we want to get more data immediately from failed tests.

Nest: Add EC_SET_WALK()

Lib: Add common macros for undefined integer values in config

Lib: Extend bsnprintf() for byte strings

Add support for %Xb directive to print fixed-length byte strings,
formatted as hexadecimal sequences separated by colon.

Fix brandom() to return u32

I missed that random() returns only positive results (31 bits), while
jrand() returns 32 bits but half negative. Rectifying that to return
always unsigned 32 bits.

Reported-By: Ondrej Zajicek <santiago@crfreenet.org>
Issue: #312

Replace random() with jrand48()

In BIRD 3, every random() call locks. Converting these to jrand48()
with thread-local context buffers. The change starts in BIRD 2
though, to keep the code aligned better.

Edited-By: Maria Matejka <mq@jmq.cz>
Issue: #312

OSPF: Fix infinite loop in OSPF Graceful Restart

The loop tests 'j' but increments 'i', so 'j' never changes
and the loop never terminates.

BMP: Fix off-by-one buffer overflow

Config validation checks string length, buffers for system
name/description should have one more byte for null termination.

Thanks to lzx0xf1 for the bugreport.

Nest: Add message when attempting to reload protocol that is not UP

Fixes: #36

Filter: Fix typos

Filter: Add tests for clists of ints and quads

Filter: Add missing operations for clists of ints

Despite that clist can be used with ints as its values, some operations
(specifically matching and ones with set arguments) were not properly
implemented.

BMP: Build by default, it is no longer experimental.

Release: Tag script with all checks

This commit also allows running from a different repository, so that we
can test the release process without mingling with the public one.

CI: Build packages on release commits always

We need to check whether everything works correctly before actually
pushing to stable branches.

CI: Disable unstable OpenBSD 7.5 build

For whatever reason, the builder is unstable. We'll investigate this later.

Issue: #388

Log: Set a reasonable lower bound for the log file size limit

The log rotation needs a minimal file size. The 16 kB limit imposed
by this commit effectively allows about 150 lines to fit into one file,
and by that all the accompanying log messages (e.g. with debug latency)
fit into there and don't cause another rotation.

Issue: #370

CI: Fix corefile download from Netlab

CI: Ignore THP disable warning for crossbuilds

Crossbuilds are run in qemu-user which doesn't support
disabling transparent huge pages.

CI: Build both userdoc and progdoc in the release

Doc: Programmer documentation formatting for new website

Doc: Ignore date and documentid

Introduced by reproducible builds.

CI: Crossbuilds for Debian and Ubuntu inside our docker machinery

Several architecture variants are failing for obscure reasons.
Disabled for now, will check later.

CI: Templated gitlab dockerfiles

This allows to add new distributions and mass-modify build environments
at a single place if any such need occurs. Also there is less risk that
some file is omitted if modifying multiple places in the same way.

There is also a check re-generating the templates in the CI and failing
immediately if they are not up-to-date.

CI: Refactored gitlab files to one directory

Now the gitlab dockerfiles are inside the gitlab directory and it's
outside misc/ as it never actually belonged to misc.

CI: Pipeline consistency checker

Tries to re-generate the pipeline specification and fails if it would
have done any changes.

CI: Display pipeline name based on its source

CI: Refactoring of pipeline job rules

Implemented:

- manual and scheduled pipeline run support
- inputs to explicitly choose which job categories to run
- docker rebuild only manually
- no packaging for development branches

CI: Split the makefile out, add documentation

DEB: Enable local crossbuild

Running everything inside the pbuilder is slower than needed
and the packages build well even without the fully contained
environment.

ASPA: Document our aspa_check() implementation.

There are certain design choices behind the implementation,
and as the ASPA algorithm is quite complex even in the specification,
we should add some explanation here.

Our approach is not directly following the specification, as checking
the authorized() function specified in the draft is performance-heavy.

Also, there are some more future plans with this, and they deserve
documenting as well.

CI: Disabling simple ASPA tests in Netlab

These tests are better done in filter/test.conf as a unit test.

ASPA: Fix downstream check for two-point apex

The ASPA algorithm is quite complex if one wants to execute it fast.
Most notably, the performance-critical part is looking up the ASPA
records, and we are trying to reduce that to minimum.

Yet, in that effort, we missed the fact that in the downstream
algorithm, the down-ramp and up-ramp may touch, i.e. their top ends
have a lateral peering.

The original idea was to find the point where the down-ramp is
impossible to be extended, and from there on, the algorithm is basically
just the upstream algorithm. But it isn't, most notably with the lateral
peering scenario it is much more complex than this.

This issue was discovered by several people, and got a fix submitted by
Evann DREUMONT. That fix was correct but replaced the algorithm too
deeply. We don't want to do such large changes (including semantics)
inside the stable versions, and we have some more plans with all of this
considering performance, as soon as more ASPA records emerge.

This patch therefore simply removes the force_upstream shortcut from
where the down ramp is terminated, fixes the downstream code so that
it works without that shortcut, and explicitly allows the two-apex
downstream scenario.

Original-By: Evann DREUMONT <evann@grifon.fr>

ASPA: Finish official test case coverage

This commit implements missing test cases based on the official ASPA
path verification examples to expand coverage.

Also, one of the custom test was incorrect, because while there is no valid
ASPA this could be seen, from a downstream perspective, as peering.

This commit was originally a complete fix of the ASPA verification.
Reduced significantly by committer.

Filter: Document and extend ASPA verification tests

These extensions minimalistically replicate the downstream bug reported
by Evann DREUMONT. (See next commit.)

Issue: #355

CI: Always checkout master of bird-tools for netlab

BGP: Automatic peering based on discovered neighbors

Extend existing dynamic BGP code to support spawning of active BGP
instances for discovered neighbors.

The existence of such dynamic BGP instances is controlled by exporting
information from a table containing neighbor entries through a newly
introduced neighbor channel. This means that the feature will only work
if there is another protocol responsible for discovering and announcing
neighbor entries (e.g. RAdv with 'router discovery' enabled).

Based on the patch from Matteo Perin <matteo.perin@canonical.com>, thanks!

RAdv: Router discovery based on incoming Router Advertisments

Up until this point no much use has been make of incoming RAs, this commit
tries to amend that by announcing peer-based routes to a new peer channel.
This will allow to use the information discovered about remote routers
by other protocols.

RA staleness has also been taken into consideration and the routes are
withdrawn whenever the advertised router lifetime expires.

The feature is meant to be enabled via a new configuration option in
the RAdv protocol called router discovery [yes/no].

Minor changes by committer.

Nest: Add net_addr_nbr route type to track discovered neighbors

The definition and helper functions for a new route-like object to track
peer discovery data has been added. It only contains the (v4 or v6)
neighbor address and the ingress iface index, for now.

The main intent of this is, currently, to enable BGP unnumbered auto
peer discovery via RAdv incoming advertisments, but in the future the
same data structure could be used to allow discovery coming from
different protocols.

Minor changes by committer.

Nest: Improve reconfiguration of dynamic BGP

During reconfiguration, first add all existing dynamic protocols to the
new BGP config to ensure that there is already full set of protocols
when reconfiguration hooks for individual protocols are called.

Also, bgp_spawn() should not be called when parent BGP is not yet
configured, otherwise we would end with an old proto_config linked
from the new configuration.

BGP: Refactor bgp_spawn()

Filter: Fix definition after label

Filter: Fix string ordering

Function strcmp() returns negative / 0 / positive, but val_compare()
is expected to return -1 / 0 / 1.

Lib: Fix mem_hash_mix_str() infinite loop/OOB read

Netlink: Fix handling of RTAX_CC_ALGO netlink attribute

The kernel-provided congestion control algorithm (RTAX_CC_ALGO) is stored in
an EAF_TYPE_STRING adata blob without the terminating NULL. When exporting
metrics back to netlink, the value is treated as a C string and passed to
nl_add_attr_str(), which uses strlen(str)+1. This may read past the allocated
adata and leak adjacent memory or crash.

Minor change by committer.

NEWS and version update

CI: Packaging cleanup

With the removal of APKG, we don't need to split out "-legacy" DEB with
old python, and "-wa" RPM with an obscure sed applied to specfile which
never actually did anything since added in 2021.

CI: No more APKG in packaging

We have had minor and subtle but repeating problems with the APKG
dependency chain and its overall usability. It has become apparent
that we actually don't need that kind of abstraction layer because
all our problems are actually solvable by just a bunch of short scripts.

With that, we are now using the (standard) dpkg-buildpackage and
rpmbuild tools directly from bash script.

From now on, with just several exceptions, all our distribution builds
should be fully reproducible.

Source package and documentation builds are now reproducible

We now explicitly set the PDF build datetime to commit datetime, and we
also clean all the file metadata in the TGZ archives, so that the
generated archives are now bit-identical.

Lib: Fix comments so that progdoc is deterministic

For some weird reason, the old Perl code behaves non-deterministically on
@foo() and there is no clear explanation why. The snails should not be there
anyway so removing them.

CI: Update supported distributions

+ OpenSUSE 16.0 (by David Petera)
+ Oracle Linux 8, 9 and 10 (fork of RHEL)
+ Fedora 43
+ Ubuntu 25.04 and 25.10.

- Debian 10 is too oldstable.
- Ubuntu 24.10 is EOL.

Doc: Unfix the stable release version in singlepage doc build

Doc: Readme update, website is bird.nic.cz

Updating links to the old website to point to the new website, where
relevant.

Also updated other links in README and some clearly outdated texts.

Doc: Building singlepage version with the appropriate template

Minor typos in error messages

Reported-By: Marco d'Itri <md@linux.it>

Conf: Check for enabled pthreads when using BFD

BFD protocol strictly depends on pthreads being enabled,
but the compilation configuration checks do not reflect it now.

Add a check for pthreads when BFD is included in the
configured protocols.

Thank you Alexander Zubkov <green@qrator.net> for the report and patch!

Closes: #306

RAdv: Fix flags for deprecated prefixes

When a prefix is deprecated (valid_lifetime == 0), it should be
announced with the same flags as before. The old code announced it
without any flags, which leads to being ignored by recipients.

Note that a prefix could be depreacted for two reason - it is removed
from the interface, or it is deconfigured in BIRD configuration.

Thanks to Michael Saxl for the bugreport.

Tools: Release initialization script

There is a bunch of things one needs to do in gitlab when releasing and
this script simply checks whether there is everything needed and fixes
what is missing,

BMP: Fix crash when exporting a route with non-bgp attributes

Reported-By: Annika Hannig

CI: fix broken debian-11-i386 packaging

The error occured when trying to install 'markupsafe' v3.0.3 python package (dependency of 'apkg') on debian-11-i386 arch.
Fixed by preinstalling older version of 'markupsafe' package before the installation of 'apkg'.

Since the behavior is added to 'pkg-deb-legacy' it also effects packaging of ubuntu-18.04-amd64.
Also debian-11-amd64 is moved to 'pkg-deb-legacy' together with effected debian-11-i386 just for code clarity.

BGP: Fix interface pattern behavior with free bind

In case of free bind, it makes no sense to check for addresses
on the interfaces.

Also added quite some documentation on how this all behaves
in different combinations of options.

BGP: Fix dynamic instance reconfiguration

Every dynamic BGP was torn down on reconfig because the inherited
configuration is a little bit different than the parent one. Fixed this
by applying the same changes before the reconfiguration's memcmp().

This bug was introduced in 56af56a5ab8929bf211bdbe8fef28cb37c2cb7fa.

Also fixed interface pattern reconfiguration which always restarted.
Added not only comparison but also actual reconfiguration of the pattern
itself so that one can update the pattern without restarting a running
BGP session.

Finally, extended documentation a bit to cover dynamic BGP scenarios a
little bit better. Yet, it probably deserves a separate section on
dynamic BGP.

BGP: Fix TCP-AO single key rejection

When one key fails but others are working OK, do not shut down the BGP,
just disable that one key. We intended to do it this way but it somehow
slipped through.

Also added key cleanup in cases where the key addition fails for just
some sockets but not for all.

BGP: Refactoring incoming socket matching

BGP: Rewind MD5 setup on listening sockets on setup failure

BGP: Fixed link-local connections with wildcard local iface

When BGP was configured to accept link-local connections
in combination with interface range, it failed to recognize
that the incoming connection is indeed for that protocol.

BGP: Fixed unnumbered connections with wildcard local IP.

When the BGP was configured onlink with a neighbor range, interface
range and wildcard local IP, the connections failed to establish
because the inferred local IP wasn't properly propagated.

BGP: Interface range bind

For dynamic onlink connections, we need to find out which interface
the connection came in, and we need to pin that connection to
that interface. To achieve that, we create a listening socket
bound to each interface separately, and match the incoming connection
by the socket. Otherwise, the kernel would not give us any information
on where the connection came from.

BGP: Listening socket refactoring

We sometimes need to have multiple listening sockets for one passive
BGP. This refactoring commit updates the appropriate data structures.

Socket: Warnings for link-local addresses without interfaces

In certain corner cases (e.g. mixed global and link-local IPv6 address)
the kernel fails to give us the interface ID. We log a warning for such
a case before a possibly misleading error message is spit out by BGP.

Also pass TCP interface information from parent to child on accept,
if the interface is bound to that interface.

BGP: Show onlink information in CLI