Add Auth 4.0.2 changelog

Update secpoll for January 2017 security releases

Add security advisories

Merge pull request #4893 from rgacogne/tsig-ixfr

Check TSIG signature on IXFR

Merge pull request #4889 from rgacogne/auth-unknown-record-content-size

auth: Correctly check unknown record content size

Check TSIG signature on IXFR

Merge pull request #4887 from rgacogne/auth-webserver-exit

auth: Don't exit if the webserver can't accept a connection

Merge pull request #4882 from rgacogne/spurious-rrs

Don't parse spurious RRs in queries when we don't need them

Merge pull request #4880 from rgacogne/rec-depth-limit

rec: Add `max-recursion-depth` to limit the number of internal recursion

auth: Correctly check unknown record content size

auth: Don't exit if the webserver can't accept a connection

This could lead to a Denial Of Service, before we even got a chance
to check that the remote client is allowed by the ACL.

Reported by mongo (thanks!).

Don't parse spurious RRs in queries when we don't need them

Merge pull request #4868 from grinapo/master

Document that carbon-server requires IP address, no hostname accepted.

Merge pull request #4872 from pieterlexis/dnsdist-out-of-tree

Fix dnsdist out-of-tree builds

Merge pull request #4874 from pieterlexis/ship-mkpubsuffix

Recursor: ship mkpubsuffixcc

Merge pull request #4876 from pieterlexis/fix-freebsd-configure

Fix configure on FreeBSD

Fix dnsdist out-of-tree builds

Closes #4866

rec: Add `max-recursion-depth` to `upgrading.md`

Fix configure on FreeBSD

AX_CHECK_LINK_FLAG produced a broken configure script that did not work
on FreeBSD.

Fixes #4875

rec: Add `max-recursion-depth` to limit the number of internal recursion

Default to 40, was unlimited.

Merge pull request #4804 from ahupowerdns/tcp-forward

remove hardcoding of port 53 for TCP/IP forwarded zones in recursor, …

Recursor: ship mkpubsuffixcc

Closes #4842

Merge pull request #4794 from pieterlexis/issue-4342

RPZ: some logging fixes

Merge pull request #4800 from pieterlexis/pdnsutil-fancyness

Various documentation improvements

Merge pull request #4864 from Habbie/enable-jdnssec

reinstate jdnssec usage now that it supports ECDSA

Merge pull request #4803 from pieterlexis/issue-4801

Graceful fallback if pandoc is unavailable

Merge pull request #4824 from pieterlexis/issue-4680-check-ecdsa-use-openssl-include

Check in the detected OpenSSL/libcrypto for ECDSA

Merge pull request #4829 from mind04/axfr

make sure AXFR only delete records from a SLAVE domain in a multi bac…

Merge pull request #4836 from zeha/tldnames

Remove hardcoded tld names co.za, co.il

Merge pull request #4838 from pieterlexis/check-libatomic

Check if we can link against libatomic if needed

Merge pull request #4852 from rgacogne/issue-4851

DNSName: Check that both first two bits are set in compressed labels

Merge pull request #4855 from ahupowerdns/getaddrinfo-triplicate

It turns out our use of getaddrinfo in communicator.hh would be retur…

Merge pull request #4860 from rgacogne/unfuck-dq

rec: Fix `dq` members alterations from Lua not being taken into account

Typo fix

Document that carbon-server requires IP address, no hostname accepted.

Merge pull request #4856 from rgacogne/dnsdist-better-docs

dnsdist: Clarify docs: `maintenance()`, cache memory usage and `exceed*`

Check if we can link against libatomic if needed

Also move the OS detection to the top

clean up - was identical to expected_result

reinstate jdnssec usage now that it supports ECDSA

Merge pull request #4839 from mind04/ent-asterisk-unbound

nsec ent-asterisk test is no longer bogus with unbound 1.6.0

Merge pull request #4862 from rgacogne/jdnssec-0.13

jdnssec-tools 0.13 has been released

jdnssec-tools 0.13 has been released

rec: Add a regression test for `NXDOMAIN` from `presolve()`

rec: Fix `dq` members alterations from Lua not being taken into account

Apparently when using reference, LuaWrapper pass the object by copy
and not by reference, so for now we pass `dq` as a pointer, not a
reference.

dnsdist: Clarify docs: `maintenance()`, cache memory usage and `exceed*`

dnsdist: Update the website's frontage for 1.1.0

Merge pull request #4833 from zeha/dnsdist-sidebar-scroll

dnsdist docs: make sidebar scrollable

Merge pull request #4822 from ekohl/document-webserver-needed-for-api

Document webserver=yes is needed for API until 4.1.0

It turns out our use of getaddrinfo in communicator.hh would be returning all addresses in triplicate (one for each socket type). See https://bugzilla.mozilla.org/show_bug.cgi?id=223811
We may have filtered this out at a later stage, but it was wrong in any case.

improve comment on getaddrinfo

DNSName: Check that both first two bits are set in compressed labels

We checked that at least one of the first two bits was set,
but the 10 and 01 are combinations do not indicate a compressed label
and are reserved for future use.

add required unbound version to the ent-asterisk test description

Remove hardcoded tld names co.za, co.il

These are already in the current public suffix list.

nsec ent-asterisk test is no longer bogus with unbound 1.6.0

dnsdist docs: make sidebar scrollable

make sure AXFR only delete records from a SLAVE domain in a multi backend setup

Check in the detected OpenSSL/libcrypto for ECDSA

We used to 'just' use the default includes for this detection.

Fixes #4680

Merge pull request #4823 from rgacogne/dnsdist-110-changelog

dnsdist: Update ChangeLog for 1.1.0

Merge pull request #4812 from rgacogne/dnsdist-qdcount-zero-responses

dnsdist: Handle header-only responses, handle Refused as Servfail in the cache

dnsdist: Update ChangeLog for 1.1.0

Document webserver=yes is needed for API until 4.1.0

536ab56f5d6e3f657c787c2e6be1a55c7a422241 removed the need for
webserver=yes in pdns.conf when api=yes but that hasn't made it to
a stable release. This ensures the documentation provides a working
configuration for new users.

dnsdist: Check that cached responses are >= sizeof(dnsheader)

The check is done before inserting the response into the cache, but
it feels safer to check it again before passing it to `memcpy()`.
We check that the cached response is larger than
`sizeof(dnsheader) + qname` afterwards, but the previous commit
moved the header copy before that check.

Merge pull request #4762 from rgacogne/suffixmatchnode-existing-node

SuffixMatchNode: Fix an insertion issue for an existing node

Merge pull request #4719 from tuxis-ie/pdnsutil.list-zone

Print $ORIGIN . on list-zone, so the output can be used in load-zone

Merge pull request #4624 from rgacogne/auth-tcp-rfc7766-section10

auth: Add TCP management options described in section 10 of rfc7766

Merge pull request #4606 from mind04/nsec-dnsname

Use dnsname for nsec generation

dnsdist: Handle Refused as ServFail in the packet cache

dnsdist: Handle responses with qdcount == 0

@rygl reported that unbound at least sends `Refused` responses
containing only the DNS header.

remove hardcoding of port 53 for TCP/IP forwarded zones in recursor, to address #4799

Graceful fallback if pandoc is unavailable

Closes #4801

make it less wrong

talks about 3.0

Merge pull request #4789 from rgacogne/rec-prepend-label-get-zone-cut

rec: Don't choke on escaped content in getZoneCuts()

Merge pull request #4790 from pieterlexis/manpage-fixes

Revamp the manpage building

Merge pull request #4791 from rgacogne/rawlabels-cleanup

Auth: Cleanup `DNSName::getRawLabels()` usage

Merge pull request #4793 from pieterlexis/openbsd-hostname

Don't call `hostname -f` on openbsd

Document wildcards for the API

Document TSIG commands in pdnsutil

Describe more migration methods

dnsdist: Add `DNSAction.Refused` to the documentation

Reported by @rygl (thanks!).

Merge pull request #4781 from zeha/api-comment-zero-ttl

API: correctly take TTL from first record even if we are at the last comment

Merge pull request #4777 from pieterlexis/issue-4771

Only delegate if NS's are below apex in auth-zones

Merge pull request #4774 from pieterlexis/document-systemd-unit-edit

Document disable-syslog intereaction with systemd

fix SOA record in HOWTO

Merge pull request #4623 from rgacogne/rec-tcp-rfc7766-section10

rec: Add TCP management options described in section 10 of rfc7766

auth: Add TCP management options described in section 10 of rfc7766
* max-tcp-connection-duration
* max-tcp-connections-per-client
* max-tcp-transactions-per-conn
* tcp-idle-timeout

Merge pull request #4758 from rgacogne/rec-dq-on-stack

rec: Allocate the DNSQuestion `dq` object on the stack

Merge pull request #4784 from rgacogne/dnsdist-doc-first-available

dnsdist: Fix the `firstAvailable` policy description

Merge pull request #4783 from rgacogne/atomic-powerpc

Add -latomic on powerpc

RPZ: log additions/removals at degug, not info

Unconfuse the RPZ summary

Closes #4342

Don't call `hostname -f` on openbsd

Closes #2579

Auth: Cleanup `DNSName::getRawLabels()` usage

No real issue I'm aware of, but it's cleaner that way.

Revamp the manpage building

* Always dist the relevant manpages
* Don't build tools manpages is configured with `--disable-tools`
  (Closes #4643)
* Don't remove manpages if they cannot be rebuilt (Closes #3306)

rec: Don't choke on escaped content in getZoneCuts()

`getZoneCuts()` was constructing a `DNSName` by passing a raw label returned
from `DNSName::getRawLabels()` as a string. The constructor then tried to handle
escaped characters from the string, resulting in a different `DNSName` than the
expected one. This caused the `qname != begin` condition to be false even after
every label in `labelsToAdd` had been added, causing an UB by calling
`std::vector::back()` on an empty vector.
Using `DNSName::prependRawLabel()` instead prevents this issue since the string is
not escaped.

Merge pull request #3869 from rgacogne/rec-outgoing-protobuf

rec: Log outgoing queries / incoming responses via protobuf

dnsdist: Fix the `firstAvailable` policy description

It doesn't use the server's `order`, except when falling back to
`leastOutstanding`.

Add -latomic on powerpc

API: correctly take TTL from first record even if we are at the last comment

Fixes #4766.

API: Add test demonstrating issue #4766