bump version to 4.2023.08-4

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

fix CVE-2023-48733: disable EFI shell in SB mode

since the shell allows circumvention of Secure Boot restrictions, for example
via raw memory access or execution of scripts on the ESP.

see Links in the patch for details.

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

bump version to 4.2023.08-3

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

cherry-pick patches for PXE CVEs

CVE-2023-45229-CVE-2023-45237, taken from upstream announcement/issue at
https://bugzilla.tianocore.org/show_bug.cgi?id=4518

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

d/control: add missing build-dep

only used for bootstrapping

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

bump version to 4.2023.08-2

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/rules: re-enable PVSCSI support again

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 4.2023.08-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: adapt tracking deb files to recent package split

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: inline getting git revision

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/control: wrap-and-sort -tkn

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

move OVMF to explicit package keep pve-edk2-firmware for transition

Allowing us to make those niche use-cases opt-in, saving a few MB of
space.

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

build RISC-V images and ship as separate package

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update submodule, patches and buildsys to 2023.08

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

split out AARCH64 files into separate package

do not bother with dependencies for the split as this is for a
non-supported use-case anyway and we can point users to this fact in
the known issues section of the upgrade notes

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

handle dropping support for building 2MB-sized firmware images

Keep a static build of the last version we supported them (2023.02)
for backward compat in a new separate binary package.

We can make that optional with the next major release and handle
affected VMs in pve8to9.

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 3.20230228-4

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fix line endings of phys-bits patch

edk2 source is using \r\n ...

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

add patch to work around older guest kernel bug

by limiting the phys-bits to 46 instead of 47. On Ubuntu 18.04 with
kernel 4.15, using 47 leads to a strange issue where initialization of
VirtIO devices would fail.

Reported in the community forum:
https://forum.proxmox.com/threads/127410/

Signed-off-by: Fiona Ebner <f.ebner@proxmox.com>

bump version to 3.20230228-3

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: avoid pre-build library archives in source tar ball

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: make build-dir generation atomic

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fix #4696: Revert "ArmVirtPkg: make EFI_LOADER_DATA non-executable"

> Continue to allow bootloaders to execute memory allocated as
> EFI_LOADER_DATA until GRUB fixes are more generally available.
> (Closes: #1025656)

-- https://salsa.debian.org/qemu-team/edk2/-/commit/a0be41b75c989351b55211c7521ef1309e4e51fe

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fix empty AAVMF_VARS.fd file

Adapted from:
https://salsa.debian.org/qemu-team/edk2/-/commit/5e68feec5b2f3ddb2c392c2727c252bf51607d02

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/source: override some false-positive lintian warning/errors

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: derive upload dist automatically

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: add sbuild convenience target

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: fix dsc and source tarball generation

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: use full DEB_VERSION

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

refresh patches

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

makefile: convert to use simple parenthesis

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 3.20230228-2

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fix #4625: restore SMBIOS type 0 table defaults

Commit 4cb94f20b0 ("OvmfPkg/SmbiosPlatformDxe: use PcdFirmware*") in
the edk2 submodule made the switch from hard coded values for the
SMBIOS type 0 table to using those defined in the PCD (Platform
Configuration Database). But this changed the value for the vendor
from "EFI Development Kit II / OVMF" to "EDK II" and made version and
release date "unknown". This can cause problems for hardware keys[0],
and the missing date can make Windows unhappy[1].

The PCD information can be specified during build. For the vendor,
just revert to the hardcoded value from before. This should be enough
to resolve the issue in [0]. For version and date, use sensible values
gathered from the build variables. The date format is mm/dd/yyyy while
the version is free-form according to [2], section 7.1.

[0]: https://bugzilla.proxmox.com/show_bug.cgi?id=4625
[1]: https://edk2.groups.io/g/devel/message/100922
[2]: https://www.dmtf.org/sites/default/files/standards/documents/DSP0134_3.2.0.pdf

Signed-off-by: Fiona Ebner <f.ebner@proxmox.com>

bump version to 3.20230228-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update to edk2-stable202302

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 3.20221111-2

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/rules: re-enable PVSCSI support

It is not maintained anymore and got disabled by default in upstream
commit 57783adfb5 ("OvmfPkg: Change default to disable MptScsi and
PvScsi"). Re-enable it to preserve backwards compatibility in Proxmox
VE.

Signed-off-by: Fiona Ebner <f.ebner@proxmox.com>

bump version to 3.20221111-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/rules: sync with packaging upstream

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update submodule to edk2-stable202211

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

debian: sync tests with packaging upstream

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

debian: add patch to enforce the basic x86-64 march

this is mostly done to secure against a future change of the default
march that may come from the x86-64-v* microarchitecture level [0]
concept that is currently being developed and by some more bleeding
edge  distros even already adopted.

[0]: https://en.wikipedia.org/wiki/X86-64#Microarchitecture_levels

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

debian: sync edk2-vars-generator script with packaging upstream

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: change upload dist to bullseye

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 3.20220228-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update submodule to edk2-stable202205

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/rules: backport "Remove no-longer-used variable definition"

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/rules: adapt to upstream TPM2 compile flag rename

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/readme: add aarch64 descriptions

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/rules: enable IPv6 for PXE

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

backport "Build up $(COMMON_FLAGS) line-by-line "

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

debian: backport packaging improvements

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

drop superfluous resolution patch

commit 862ea6e836 ("OvmfPkg: change qemu default resolution to
1280x800") made our patch that changed it to 1024x768 obsolete.

Note that QEMU is planning to change their default from 1024x768 to
1280x800 in QEMU 7.0, so that's where that new value is coming from.

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update submodule to edk2-stable202202

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 3.20210831-2

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

change default resolution to 1024x768

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 3.20210831-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

debian: update build and packaging from Debian upstream

Among other thing this now ships OVMF code/vars with secureboot and
MS keys enrolled, allowing Win11 final to get installed and secure
boot support in general.

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/rules: fix export of python3 commands

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update edk2 submodule to edk2-stable202108

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/rules: enable TLS for network stack

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/rules: reuse dpkgs default.mk

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/rules: drop debguging echo

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 3.20200531-2

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/compat: bump to level 12

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: defuse submodule target, only run when submodule dir seems empty

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

enable TPM and TPM2 support

Necessary for an OS to use a TPM attached to a OVMF VM.

Signed-off-by: Stefan Reiter <s.reiter@proxmox.com>

bump version to 3.20200531-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/rules: set PYTHON3_ENABLE and PYTHON_COMMAND

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/control: update build-dependencies

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 2.20200531-2

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fixup version

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 2.202002-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 2.20191127-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

import edk2-stable201911

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 2.20191002-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/rules: fix EFI shell path

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update submodule to edk2-stable201908

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 2.20190614-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update edk2 to edk2-stable201905 tag

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: switch upload dist over to buster

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

set debian source format to 1.0

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

add rudimental DSC building

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 2.20190312-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: use dpkg-dev makefile helpers for pkg info

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump debian compat level to 11

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/control: fix priority-extra-is-replaced-by-priority-optional

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

init submodules recursive to pull in edk2 openssl usage

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

add missing build dependency

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.20190312-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update submodule to edk2-stable201903 tag

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.20181023-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update to current upstream revision

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

build and include AAVMF

To allow use in emulated and native AARCH64 VMs

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update to current upstream revision

Initial import

new repository splitting out the EDK2 (Efi Development Kit II) backed
OVMF (Open Virtual Machine Firmware) from pve-qemu package, where
only pre-built BLOBs were tracked.

Borrow some the built style from the Debian Upstream package.

We do not provide/conflict ovmf from Debian, but rather see this as
it's own package, providing the FW files under its own path.

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>