lib/path: fix typos

Signed-off-by: Tobias Stoeckmann <tobias@stoeckmann.org>

lib/path: remove ul_prefix_fopen

The function ul_prefix_fopen does not properly check for paths which are
too long. Since the only caller of ul_prefix_fopen can be easily
converted to ul_path_fopen, remove the function.

Signed-off-by: Tobias Stoeckmann <tobias@stoeckmann.org>

lib/path: set errno in case of error

Some programs like lscpu expect errno to be set if ul_path_cpuparse
fails.

Signed-off-by: Tobias Stoeckmann <tobias@stoeckmann.org>

lib/path: fix possible out of boundary access

If fgets reads from a file starting with a NUL byte in ul_path_cpuparse,
then the check for newline leads to an out of boundary access.

Proof of Concept (compile with --enable-asan):

1. Prepare /tmp/poc with required files
```
$ install -d /tmp/poc/sys/devices/system/cpu
$ dd if=/dev/zero of=/tmp/poc/sys/devices/system/cpu/possible bs=1 count=1
$ install -D /dev/null /tmp/poc/proc/cpuinfo
```

2. Run lscpu with sysroot option
```
$ lscpu --sysroot /tmp/poc
=================================================================
==78238==ERROR: AddressSanitizer: heap-buffer-overflow
```

Signed-off-by: Tobias Stoeckmann <tobias@stoeckmann.org>

Merge branch 'libblkid/align' of https://github.com/t-8ch/util-linux

* 'libblkid/align' of https://github.com/t-8ch/util-linux:
  libblkid: (probe) remove chunking from blkid_probe_get_idmag()
  libblkid: (probe) read data in chunks
  swapon: (tests) abort test on failing commands
  libblkid: reset errno before calling probefuncs
  libfdisk: reset errno before calling read()

libblkid: (probe) remove chunking from blkid_probe_get_idmag()

blkid_probe_get_buffer is doing the same thing internally now.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (probe) read data in chunks

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

Merge branch 'libmount/tab-uaf' of https://github.com/t-8ch/util-linux

* 'libmount/tab-uaf' of https://github.com/t-8ch/util-linux:
  Revert "libmount: (tab) avoid leaking memory allocated in loop"

Merge branch 'setpriv/completion' of https://github.com/t-8ch/util-linux

* 'setpriv/completion' of https://github.com/t-8ch/util-linux:
  setpriv: fix group argument completion

Merge branch 'libfdisk/errno' of https://github.com/t-8ch/util-linux

* 'libfdisk/errno' of https://github.com/t-8ch/util-linux:
  libfdisk: reset errno before calling read()

Merge branch 'ci/musl' of https://github.com/t-8ch/util-linux

* 'ci/musl' of https://github.com/t-8ch/util-linux:
  ci: run full testsuite under musl libc
  build-sys: only build col on glibc
  lib/timeutils: don't use glibc strptime extension

Revert "libmount: (tab) avoid leaking memory allocated in loop"

coverity claims that this is now a use-after-free.
Let's revert the original change and make the code clearer before trying
another fix.

This reverts commit d36306a560fd6d747e18ab22fc1279f4a373f43d.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

swapon: (tests) abort test on failing commands

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: reset errno before calling probefuncs

The probers optionally use errno to communicate error details.
When a leftover errno is set from libblkid internally this can confuse
the probers.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

setpriv: fix group argument completion

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libfdisk: reset errno before calling read()

The else branch will be executed on short reads.
For those errno is not reset so a random left-over errno value may be
checked.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libfdisk: reset errno before calling read()

The else branch will be executed on short reads.
For those errno is not reset so a random left-over errno value may be
checked.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

Merge branch 'blkid/exclusive-opts' of https://github.com/t-8ch/util-linux

* 'blkid/exclusive-opts' of https://github.com/t-8ch/util-linux:
  blkid: fix call to err_exclusive_options

Merge branch 'https-everywhere' of https://github.com/jwilk-forks/util-linux

* 'https-everywhere' of https://github.com/jwilk-forks/util-linux:
  docs: use HTTPS for GitHub clone URLs

Merge branch 'libblkid/lvm-small-device' of https://github.com/t-8ch/util-linux

* 'libblkid/lvm-small-device' of https://github.com/t-8ch/util-linux:
  libblkid: (lvm2) read complete superblock

Merge branch 'libblkid/drbd-simplify' of https://github.com/t-8ch/util-linux

* 'libblkid/drbd-simplify' of https://github.com/t-8ch/util-linux:
  libblkid: (drbd) avoid unaligned accesses
  include/c.h: add helpers for unaligned structure access
  libblkid: (drbd) use magics
  libblkid: (probe) allow superblock offset from end of device
  libblkid: (cramfs) use magic hint
  libblkid: (probe) add magic hint
  libblkid: (drbd) validate size in standard minsz predicate
  libblkid: (via_raid) validate size in standard minsz predicate
  libblkid: (silicon_raid) validate size in standard minsz predicate
  libblkid: (promise_raid) validate size in standard minsz predicate
  libblkid: (nvidia_raid) validate size in standard minsz predicate
  libblkid: (lsi_raid) validate size in standard minsz predicate
  libblkid: (jmicron_raid) validate size in standard minsz predicate
  libblkid: (isw_raid) validate size in standard minsz predicate
  libblkid: (highpoint_raid) validate size in standard minsz predicate
  libblkid: (ddf_raid) validate size in standard minsz predicate
  libblkid: (adapted_raid) validate size in standard minsz predicate
  libblkid: (probe) remove duplicate log

Merge branch 'analyzer2' of https://github.com/t-8ch/util-linux

* 'analyzer2' of https://github.com/t-8ch/util-linux:
  libblkid: (probe) handle probe without chain gracefully
  libsmartcols: (cell) consistently handle NULL argument
  lib/idcache: always gracefully handle null cache
  script-playutils: close filestream in case ignore_line() fails
  lib/colors: correct documentation of colors_add_scheme()
  treewide: use reallocarray to allocated memory that will be reallocated

Merge branch 'libmount/tab-leak' of https://github.com/t-8ch/util-linux

* 'libmount/tab-leak' of https://github.com/t-8ch/util-linux:
  libmount: (tab) avoid leaking memory allocated in loop

Merge branch 'lsfd--bpf-name#in-flight' of https://github.com/masatake/util-linux

* 'lsfd--bpf-name#in-flight' of https://github.com/masatake/util-linux:
  tests: (lsfd) extend the cases for testing BPF.NAME column
  lsfd.1.adoc: document BPF.NAME column
  lsfd: add BPF.NAME column
  lsfd: add xstrfappend and xstrvfappend
  lib/strutils: add strfappend and strvfappend
  tests: (test_mkfds::{bpf-prog,bpf-map}) fix memory leaks
  tests: (test_mkfds) add missing PARAM_END marker
  tests: (test_mkfds) use SYS_bpf instead of __NR_bpf
  tests: (test_mkfds) revise the usage of " __attribute__((__unused__))"
  tests: (lsfd::mkfds-bpf-map) chmod a+x

lsblk: improve --tree description

Addresses: https://github.com/util-linux/util-linux/issues/2516
Signed-off-by: Karel Zak <kzak@redhat.com>

blkid: fix call to err_exclusive_options

err_exclusive_options needs to be passed the long options array,
otherwise it will crash.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

docs: use HTTPS for GitHub clone URLs

GitHub has dropped support for the git:// protocol:
https://github.blog/changelog/2022-03-15-removed-unencrypted-git-protocol-and-certain-ssh-keys/

libmount: (tab) avoid leaking memory allocated in loop

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (lvm2) read complete superblock

The lvm2_calc_crc() will create a checksum over LVM2_LABEL_SIZE bytes,
which all need to be read.

Currently this works because the superblock is cached by
blkid_probe_get_idmag() which always reads 1024 bytes.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (drbd) avoid unaligned accesses

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

include/c.h: add helpers for unaligned structure access

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (drbd) use magics

Reuse more of the standard prober functionality.
This also avoids a potential unaligned access when comparing the
superblock magic as a number.
In case the superblock was already cached by a different loader the
return address may have been unaligned leading to undefined behavior.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (probe) allow superblock offset from end of device

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (cramfs) use magic hint

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (probe) add magic hint

This hint can be used by the probing callback to make decision based on
the matched magic. This avoids a awkward memcmp() on the magic string.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (drbd) validate size in standard minsz predicate

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (via_raid) validate size in standard minsz predicate

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (silicon_raid) validate size in standard minsz predicate

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (promise_raid) validate size in standard minsz predicate

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (nvidia_raid) validate size in standard minsz predicate

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (lsi_raid) validate size in standard minsz predicate

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (jmicron_raid) validate size in standard minsz predicate

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (isw_raid) validate size in standard minsz predicate

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (highpoint_raid) validate size in standard minsz predicate

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (ddf_raid) validate size in standard minsz predicate

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (adapted_raid) validate size in standard minsz predicate

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (probe) remove duplicate log

remove_buffer() already emits the same message.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

tests: (lsfd) extend the cases for testing BPF.NAME column

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

lsfd.1.adoc: document BPF.NAME column

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

lsfd: add BPF.NAME column

An example output:

  $ sudo  ./lsfd -oCOMMAND,PID,ASSOC,TYPE,BPF.NAME,NAME -Q '(TYPE =~ "bpf-*")' -p 1
  COMMAND PID ASSOC     TYPE        BPF.NAME NAME
  systemd   1     9 bpf_link                 anon_inode:bpf_link
  systemd   1    13  bpf-map     cgroup_hash id=391 type=hash-of-maps name=cgroup_hash
  systemd   1    14 bpf-prog restrict_filesy id=8210 type=lsm name=restrict_filesy
  systemd   1    28 bpf-prog      sd_devices id=8298 type=cgroup_device name=sd_devices
  systemd   1    29 bpf-prog      sd_devices id=8299 type=cgroup_device name=sd_devices
  systemd   1    30 bpf-prog      sd_devices id=8300 type=cgroup_device name=sd_devices
  ...

Using memset was suggested by Thomas Weißschuh
<thomas@t-8ch.de>.

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

lsfd: add xstrfappend and xstrvfappend

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

lib/strutils: add strfappend and strvfappend

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

tests: (test_mkfds::{bpf-prog,bpf-map}) fix memory leaks

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

tests: (test_mkfds) add missing PARAM_END marker

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

tests: (test_mkfds) use SYS_bpf instead of __NR_bpf

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

tests: (test_mkfds) revise the usage of " __attribute__((__unused__))"

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

tests: (lsfd::mkfds-bpf-map) chmod a+x

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

libblkid: (probe) handle probe without chain gracefully

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libsmartcols: (cell) consistently handle NULL argument

Some functions allow passing NULL, some don't.
Even users internal to util-linux are passing NULL parameters to these
functions, even for ones where it is not allowed.

Unify the API. As there may be external users that rely on the
NULL-accepting behavior for some functions use it everywhere.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

lib/idcache: always gracefully handle null cache

The "get" functions already do this and some callers rely on it also for
"add" ones.

For completeness also handle it in free_idcache().

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

script-playutils: close filestream in case ignore_line() fails

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

lib/colors: correct documentation of colors_add_scheme()

The function does not take ownership of its arguments and it does not
require those arguments to be heap-allocated.
In fact there is only one caller and it passed stack-allocated values.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

treewide: use reallocarray to allocated memory that will be reallocated

GCC 13 -fanalyzer expects memory that is passed to reallocarray() to
have been allocated with reallocarray() in the first place and not with
malloc().

While this requirement seems to contradict the documentation, the usage
of reallocarray() is better than the current plain malloc() in any case.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

ci: run full testsuite under musl libc

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

build-sys: only build col on glibc

col expects an EILSEQ failure of getwchar() to leave the undecoded data
in the buffer to be read by a subsequent getchar().

This is not guaranteed by the standard and for example musl libc does
not conform to this expectation.

As col is deprecated anyways just disable it on non-glibc instead of fixing it.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

lib/timeutils: don't use glibc strptime extension

strptime("%s") is a glibc extension and for example not available on
musl. Reimplement the functionality in a cross-platform way.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

Merge branch 'libblkid/vxfs-endianness' of https://github.com/t-8ch/util-linux

* 'libblkid/vxfs-endianness' of https://github.com/t-8ch/util-linux:
  libblkid: (vxfs) report endianness

Merge branch 'libblkid/bcachefs/label_sub' of https://github.com/t-8ch/util-linux

* 'libblkid/bcachefs/label_sub' of https://github.com/t-8ch/util-linux:
  libblkid: (bcachefs) add support for sub-device labels

libblkid: (vxfs) report endianness

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (bcachefs) add support for sub-device labels

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: (ntfs) validate that sector_size is a power of two

The NTFS prober reads data based off an offset of the sector size.
If the sector size is unaligned and the read data is cached then other
probers can read unaligned values.

Sector sizes for NTFS actually only make sense as power-of-two so
validate that and as a sideeffect avoid the unaligned reads.

Also add the reproducer from OSS-Fuzz that found this issue.

Fixes #2509

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

Merge branch 'login-terminal' of https://github.com/stoeckmann/util-linux

* 'login-terminal' of https://github.com/stoeckmann/util-linux:
  login: prevent undefined ioctl and tcsetattr calls
  login: use correct terminal fd during setup

Merge branch 'timestamp' of https://github.com/t-8ch/util-linux

* 'timestamp' of https://github.com/t-8ch/util-linux:
  lib/timeutils: (parse_timestamp_reference) report errors on overflow
  lib/timeutils: print error if timestamp can't be parsed
  lib/timeutils: test epoch timestamp

Merge branch 'ci/cache-openwrt-sdk' of https://github.com/t-8ch/util-linux

* 'ci/cache-openwrt-sdk' of https://github.com/t-8ch/util-linux:
  ci: cache openwrt sdk

Merge branch 'ci/gcc-13' of https://github.com/t-8ch/util-linux

* 'ci/gcc-13' of https://github.com/t-8ch/util-linux:
  ci: also use GCC 13 for sanitizer builds
  ci: don't combine -Werror and -fsanitize

Merge branch 'analyzer1' of https://github.com/t-8ch/util-linux

* 'analyzer1' of https://github.com/t-8ch/util-linux:
  libsmartcols: handle nameless tables in export format
  ldattach: don't call exit() from signal handler
  lslogins: fix realloc() loop allocation size
  more: avoid out-of-bound access
  libfdisk: handle allocation failure in fdisk_new_partition
  lib/env: fix function name remote_entry -> remove_entry
  libmount: gracefully handle NULL path in mnt_resolve_target()
  libblkid: avoid memory leak of cachefile path
  lib/env: avoid underflow of read_all_alloc() return value

Merge branch 'realloc' of https://github.com/t-8ch/util-linux

* 'realloc' of https://github.com/t-8ch/util-linux:
  treewide: use (x)reallocarray() when applicable

Merge branch 'ci/clang-17' of https://github.com/t-8ch/util-linux

* 'ci/clang-17' of https://github.com/t-8ch/util-linux:
  ci: build with clang 17

Merge branch 'login-comment' of https://github.com/stoeckmann/util-linux

* 'login-comment' of https://github.com/stoeckmann/util-linux:
  login: Use pid_t for child_pid
  login: move comment

Merge branch 'lsfd--resolve-mqueue-nodev' of https://github.com/masatake/util-linux

* 'lsfd--resolve-mqueue-nodev' of https://github.com/masatake/util-linux:
  lsfd: collect the device number for mqueue fs in the initialization stage
  tests: (lsfd) show the entry for mqueue in /proc/self/mountinfo

lib/timeutils: (parse_timestamp_reference) report errors on overflow

Instead of silently returning '0' on 'minus'-underflow and silently
wrapping on 'plus'-overflow return ERANGE.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

lib/timeutils: print error if timestamp can't be parsed

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

lib/timeutils: test epoch timestamp

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

ci: cache openwrt sdk

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

ci: also use GCC 13 for sanitizer builds

Now that -Werror is not used anymore with -fsanitize the false-postives
are not a problem anymore and we get the better runtime checks of newer
sanitizers.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

ci: don't combine -Werror and -fsanitize

As explained in [0]:

    Note that sanitizers tend to increase the rate of false positive
    warnings, most notably those around -Wmaybe-uninitialized. We recommend
    against combining -Werror and [the use of] sanitizers.

[0] https://gcc.gnu.org/onlinedocs/gcc-13.2.0/gcc/Instrumentation-Options.html#index-fsanitize_003dundefined

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libsmartcols: handle nameless tables in export format

fputs(NULL) is not allowed.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

ldattach: don't call exit() from signal handler

Instead use _exit().

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

lslogins: fix realloc() loop allocation size

If stat() fails the realloc loop would always try to allocate zero
bytes.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

more: avoid out-of-bound access

The realloc() needs to happen before that memory is used.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libfdisk: handle allocation failure in fdisk_new_partition

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

lib/env: fix function name remote_entry -> remove_entry

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libmount: gracefully handle NULL path in mnt_resolve_target()

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

libblkid: avoid memory leak of cachefile path

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

lib/env: avoid underflow of read_all_alloc() return value

read_all_alloc() returns a negative error on failure.
When casting this to an unsigned type the failure check "< 1"
will not work.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

treewide: use (x)reallocarray() when applicable

reallocarray() prevents overflow of the multiplication.
It also avoids issues with operator precedence like in libmount/src/context.c:

    pids = realloc(cxt->children, sizeof(pid_t) * cxt->nchildren + 1);

This only allocated one additional byte, and not enough space for
another child.

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

login: prevent undefined ioctl and tcsetattr calls

Do not call tcsetattr if tcgetattr fails, because the content of
tt and ttt is undefined in that case.

Also do not just warn if ioctl fails, but also avoid calling it again
after tty has been re-opened.

I've solved this by setting struct variables to values which cannot be
valid at this point. If they do have these exact values, then the
calls will be prevented.

Signed-off-by: Tobias Stoeckmann <tobias@stoeckmann.org>

login: use correct terminal fd during setup

The function get_terminal_name iterates through standard file
descriptors until it finds a terminal. This means that it's not
guaranteed that STDIN_FILENO (i.e. 0) is actually a terminal.

Do not modify permissions on possible files. Instead, retrieve
the file descriptor which was used by get_terminal_name as well.

Proof of Concept (as root):

1. Create a temporary file with a mode different than TTYPERM.
```
install -m 700 /dev/null /tmp/test
ls -l /tmp/test
-rwx------ 1 root root 0 Sep 21 20:15 /tmp/test
```

2. Run login within a terminal with adjusted stdin.
```
login < /tmp/test
host login:
            Hangup
```

3. Check permissions of input file.
```
ls -l /tmp/test
-rw------- 1 root root 0 Sep 21 20:15 /tmp/test
```

Signed-off-by: Tobias Stoeckmann <tobias@stoeckmann.org>

ci: build with clang 17

Signed-off-by: Thomas Weißschuh <thomas@t-8ch.de>

login: Use pid_t for child_pid

Since child_pid keeps track of a PID, it should be of type pid_t
and not of type int.

Signed-off-by: Tobias Stoeckmann <tobias@stoeckmann.org>