bump version to 15.8-1+pmx1

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

dbx: generate our own UUID

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

Merge tag 'debian/15.8-1_deb12u1' into proxmox/bookworm

Release shimversion 15.8-1~deb12u1

*Actually* release 15.8-1~deb12u1 for bookworm

Clean up better after build. Closes: #1046268

Remove artifacts imported by mistake

Install a copy of the Debian CA certificate into /usr/share/shim.

Closes: #1069054

Release 15.8-1~deb12u1 for bookworm

Update version for bookworm

Force usage of newest revocations at build time

Force shim to use the latest revocations by default to block some
older grub / peimage issues. This is:

"shim,4\ngrub,4\ngrub.peimage,2\n"

This should work with the current released grub builds in all of
buster, bullseye, bookwork and trixie/unstable. Let's not leave known
security holes in the wild.

Cherry-pick latest grub revocation patches from upstream shim

0001-sbat-Add-grub.peimage-2-to-latest-CVE-2024-2312.patch
0002-sbat-Also-bump-latest-for-grub-4-and-to-todays-date.patch

Log if the build is nx-compatible or not

Add a new simple script to do this: check_nx

Switch to 15.8 upstream and drop patches

New upstream version 15.8

Tweak the UUID handling to be clearer

Add salsa-ci.yml

Merge branch 'fixes20240429' into 'master'

Apply multi-arch hints. + shim-unsigned: Add Multi-Arch: same.

See merge request efi-team/shim!15

Add changelog entry

Add verification of upstream release

Fix d/watch

Closes: #936009

Apply multi-arch hints. + shim-unsigned: Add Multi-Arch: same.

Changes-By: apply-multiarch-hints

Merge branch 'tests' into 'master'

Tests

See merge request efi-team/shim!14

Add machine smm=on

Fix test failure

Fix depreciation warnings

Use popen for lsb_release

Fix depends

Update changelog

Port to debian

Add ubuntu test

generate_dbx_list: pick a fixed UUID

otherwise our build won't be reproducible, doh!

revert accidentally committed changes

Tweak building with pesign changes

We used to use efisiglist to generate the DBX list. Newer versions of
the pesign package don't include it any more, and the recommended
replacement tool is now efisecdb from efivar. Tweak the
generate_dbx_list script to work with both old and new. Let's make
backports easy...

bump version to 15.7-1+pmx1

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

d/control: update Maintainer

and Vcs-*

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

d/control: add empty version pinning package

that our meta package can depend on to ensure *our* shim package is installed,
even if Debian at some point ships a higher version..

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

drop patch inapplicable for Proxmox

we never shipped a broken Grub with SBAT 3

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

add Proxmox Uefi Secure Boot CA certificate

for embedding in shim as trust anchor for signed EFI binaries. the
corresponding private key was generated on and is stored on a FIPS compliant
HSM.

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

add Proxmox file references to packaging

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

Release 15.7-1

Swith to using the upstream "enable NX" patch

Block Debian grub binaries with sbat < 4 (see #1024617)

Enable NX support at build time

As required by policy for signing new shim binaries.

Update upstream commit hash in build

We're using 657b2483ca6e9fcf2ad8ac7ee577ff546d24c3aa, which is the
15.7 release plus the one patch we're applying.

Update to Standards-Version 4.6.2 (no changes needed)

Switch to using gcc-12

Closes: #1022180

Switch to new upstream (15.7)

Also import patch to deal with buggy binutils

Update upstream source from tag 'upstream/15.7'

Update to upstream version '15.7'
with Debian dir f802105ae061241b13ab962854f56388092fc703

New upstream version 15.7

Release 15.6-1

Start packaging updates for the new 15.6 upstream release

Remove all our patches, all upstream now

New upstream version 15.6

Update upstream source from tag 'upstream/15.6'

Update to upstream version '15.6'
with Debian dir 952ad3d5a92a2003f3496a79d1875a951c255396

Update the 32-bit format patch after upstream review

Add patch headers for our patches now I've pushed PRs

Try again on the string format fix

Fix format strings for 32-bit builds

Add new build-dep on libefivar-dev for tests

Try again with includes

Tweak setup for dh_auto_test so the tests work

Start packaging updates for the new 15.51 upstream release

Remove all our patches, all upstream now.

New upstream version 15.5

Update upstream source from tag 'upstream/15.5'

Update to upstream version '15.5'
with Debian dir 3ac353daa3d32301e3b225b2b6f446200a2c682f

Tweak how we call grub-install; don't abort on error

Not ideal behaviour either, but don't break upgrades. Copy the
behaviour from the grub packages here. Closes: #990966

Release 15.4-6

In insecure mode, don't abort if we can't create the MokListXRT var

Upstream issue #372. Closes: #989962, #990158

Add arm64 patch to tweak section layout and stop crashing problems

Upstream issue #371. Closes: #990082, #990190

Add defensive code around calls to db_get

Don't fail if they return errors.

Fix up the template maintainer scripts

if we're not running on an EFI system then exit cleanly

Add maintainer scripts to the template packages

Manage installing and removing fbXXX.efi and mmXXX.efi when we
install/remove the shim-helpers-$arch-signed packages. Closes: #966845

Add changelog for 15.4-2 with new patches

Don't call QueryVariableInfo() on EFI 1.10 machines

New patch from upstream, don't break old Macs

Fix handling of ignore_db and user_insecure_mode

Extra patch from upstream

Stop hardcoding the release version in the rules file

We can grab it from the changelog already

Clean more things

Prep for releasing based on 15.4

allocate MOK config table as BootServicesData

Another patch from upstream, needed with newer kernels on x86

Add one more patch from upstream to fix i386 binary relocations

Move the sha256sum call to the end of the install phase

Make the output easier to find

Override dh_auto_build setting INSTALL, cut down on build noise

Update to the 15.4 release

Update upstream source from tag 'upstream/15.4'

Update to upstream version '15.4'
with Debian dir 93160080661283eee071d2c92a27ce9b39acb998

New upstream version 15.4

Print sha256 checksums of the EFI binaries when the build is done

Tweak the SBAT data to keep reproducibility

Only include the upstream version in the Debian SBAT metadata, so
we don't break reproducibility on every minor packaging change.

Add missing build-dep on xxd for build-time unit tests

New upstream version 15.3

Update upstream source from tag 'upstream/15.3'

Update to upstream version '15.3'
with Debian dir 1b484f1c1ac270604a5a1451b34de4b0865c6211

Switch to using the 15.3 release from upstream

Remove all out outstanding patches

 * cast-CHAR8-string-handling.patch no longer needed
 * fix-Make.coverity-bashisms.patch went upstream

Update copyright file

Update a couple of top-level changes, copy in gnu-efi information from
the gnu-efi package

Fix up some of the options we're using at build time

Definitely don't want to be setting EFI_PATH, as that over-rides the
vendored gnu-efi. Argh

Improve how the dbx hashes are handled

Only include the hashes for the architecture we're building for - no
point in adding bloat and delay here.

Add a script "block_signed_deb" to scan a set of .deb files, extract
the hashes for .efi binaries and list them in the format wanted for
the dbx hashes file.

Split out the code to use that file from the rules file into a
separate helper.

Tweak the gnu-efi tarball code

Add an extra rule to generate the extra gnu-efi tarball

Thanks to Dmitri John Ledkov for help

Add Debian SBAT data to the shim build

Add a Debian SBAT template, and rules to use it
Adds a build-dep on dos2unix

Add dbx entries for all our existing grub binaries

They're insecure, let's break the chainloading hole

Change changelog to shut lintian up

Remove artifacts that upstream installs that we don't use

... to keep debhelper from complaining