bus-util: coding style cleanups

- replace `type *func()` -> `type* func()`,
- rename arguments for storing results.

 sd-bus: coding style cleanups

- replace `type *func()` -> `type* func()`,
- rename arguments for storing results,
- add several missing assertions.

sd-bus: BusMessageContainer.begin is always zero in sd_bus_message_open_container()

boot: fix typo

Follow-up for cab9c7b5a42effa8a45611fc6b8556138c869b5f.

cgroup-util: Always open cgroupv2 attribute files in O_NONBLOCK mode

As explained in https://lore.kernel.org/all/20250419183545.1982187-1-shakeel.butt@linux.dev/,
writing to memory.max or memory.high triggers synchronous memory reclaim
if the limit is lowered. This can end up taking nonnegligible amounts
of time, completely blocking pid1 from doing any other work while the
reclaim is ongoing.

To address this problem, the kernel going to add O_NONBLOCK semantics
to memory.max and memory.high. If the file is opened with O_NONBLOCK,
the synchronous memory reclaim is skipped and only triggered later
without blocking the process writing the file. Let's make sure we make
use of this by opening cgroupv2 attribute files with O_NONBLOCK.

We opt to do this for all cgroupv2 attribute files, to make sure that
if the same problem happens elsewhere in the future and is fixed in the
same way, we immediately take advantage of that fix without having to
make changes in systemd as well. We probably never want to block when
writing cgroupv2 attributes and any cases where we do want to block should
indicate so explicitly instead of blocking by default.

core/timer: Introduce RandomOffsetSec= knob (#36437)

This is like RandomDelaySec, but it doesn't reset whenever the manager
restarts.

Fixes https://github.com/systemd/systemd/issues/21166

various: turn off SO_PASSRIGHTS where fds are not expected (#37759)

stub: call inner kernel directly (#37372)

Since shim 16, it is not possible anymore to override the security arch
protocol to avoid signature check and measurements.

Also on Dell servers, EFI_SECURITY2_ARCH_PROTOCOL is not implemented, so
unexpected measurements on PCR 4 were still happening.

This just loads and run the kernel pe. We verify that there is no
relocation needed. Also for simplification, we assume and verify that
the base address is expected to be 0.

network/dhcp-server: improvements for saving/loading leases (#37835)

man: fix varname copypasta

various: turn off SO_PASSRIGHTS where fds are not expected

sd-varlink: hook up fd passing control with SO_PASSRIGHTS

This is a tricky one, because we effectively turn fd passing input
toggle into a tristate: unset, disabled, and enabled; whereas unset
and disabled were identical previously. *Unset* state silently
ignores SCM_RIGHTS passed by invoking recv() instead of recvmsg(),
and for disabled we now disable SO_PASSRIGHTS completely.

The plot thickens when it comes to the server, since we want to
turn off the SO_PASSRIGHTS already on the listening socket so that
there's no race between accept() and recvmsg() wrt SO_PASSRIGHTS state.
However, if we do this unconditionally, the existing use case of
creating a custom connection callback and enabling fd passing there
would be broken.

Hence, let's introduce a new flag,
SD_VARLINK_SERVER_FD_PASSING_INPUT_STRICT, which when set
ties the enablement of fd passing to SO_PASSRIGHTS in server,
and set it for all our varlink servers.

Refer to the previous commit for the rationale behind return value
change in sd_varlink_set_allow_fd_passing_input().

sd-varlink: unify AF_UNIX check in sd_varlink_set_allow_fd_passing_output()

Currently, the socket type is only checked if the fd passing is
being enabled. The special handling seems unnecessary though,
as in the disable case, either fd passing is already false and
would be caught by the (... == !!b) shortcut at the beginning,
or the AF_UNIX check wouldn't have succeeded in the first place,
for the initial toggle to true. Hence, just uniformly check
AF_UNIX.

While at it, sd_varlink_set_allow_fd_passing_*() oddly return 1
iff changed and !b, which doesn't fit into our coding style and
I can't come up with any use case for such behavior. Let's
return 1 on changed and 0 otherwise.

sd_varlink_set_allow_fd_passing_input() will be fixed in the later
commits with other enhancements.

sd-varlink: remove unneeded strdup()

logind: port one remaining varlink server allocation to varlink_server_new()

notify-recv: disable SO_PASSRIGHTS by default in notify_socket_prepare()

core/socket: introduce AcceptFileDescriptors=

This controls the new SO_PASSRIGHTS socket option in kernel v6.16.
Note that I intentionally choose a different naming scheme than
Pass*=, since all other Pass*= options controls whether some extra
bits are attached to the message, while this one's about denying
file descriptor transfer and it feels more explicit this way.
And diverging from underlying socket option name is precedented
by Timestamping=. But happy to change it to just say PassRights=
if people disagree.

missing_socket: add SO_PASSRIGHTS

core/socket: add PassPIDFD=

core/socket: use universal format string for socket option warnings

core/socket: don't suggest PassFileDescriptorsToExec= is a socket option

by not interleaving it among socket options.

udev-ctrl: enable SO_PASSCREDS on listening socket already rather than on accept()

This matches what systemd-udevd-control.socket does.

units/systemd-journald@.socket: enable SO_TIMESTAMP

Follow-up for 02229dff2b371f3a6235fe18ea72e972ddbc90a9

This applies the change to journal namespace instances too.

README: add more kernel APIs we now utilize

log: drop redundant forward decl

These are defined in forward.h already.

sd-bus: Preserve interfaces addition order

When adding a new interface to the object add it at the end of the list.
This way, when iterating over the list, e.g., during handling introspect
call, the order of returned interfaces will mach the order in which they
were added.

hostname-util: introduce machine_spec_valid() and check --machine= value everywhere (#37851)

Replaces #32999

Addresses
https://github.com/systemd/systemd/pull/37741#discussion_r2128482378

fstab-generator: log about the fstype in effect

fstab-generator: set mode=0755 with root=tmpfs

If mode= is not set in rootflags= add mode=0755 when a tmpfs
is used on the rootfs, otherwise it will be group/world writable
as that's the default mode for tmpfs filesystems.

Follow-up for 725ad3b06288b2beeaaf178120010612a30646e4

mkosi: update debian commit reference to 01b5b96a2f85594c2c8caf5d10048a4ec41f9d89

* 01b5b96a2f Install new files for upstream build
* a4bdf87f03 Revert "systemd-boot: always pull in systemd-boot-efi on amd64/arm64"
* e29629dcaf systemd-boot: always pull in systemd-boot-efi on amd64/arm64
* f0202aa0aa Update changelog for 257.6-1 release
* 7a5572e94d Drop patches, merged upstream
* ece0caddcf Set upstream metadata fields: Security-Contact
* a71d94c611 systemd-boot: fix BOOT.CSV usage

tree-wide: check --machine= specification

Addresses https://github.com/systemd/systemd/pull/37741#discussion_r2128482378

sd-bus: port to machine_spec_valid()

hostname-util: introduce machine_spec_valid()

hostname-util: do not allow empty machine spec

Follow-up for 2ae32e9d8fc95010ee4b52b3118ea9fbf05d96d6

Let's not open this up even further and rather disallow
--machine="".

Update distro packaging commits (#37765)

mkosi: update fedora commit reference to 7de88c66bdc26920db570e67ef74e579f8461d9c

* 7de88c66bd Do not mark symlinks as %ghost
* 92c16c1dab Let systemd-{sysusers,shared} conflict with older systemd
* ed6b885327 Version 257.6
* 5a53eac13c Package pcrlock files together with systemd-pcrlock
* 2192e86112 Move mount.ddi symlinks to -container subpackage
* 451184cbea Revert "Disable freezing of user sessions"
* f6af46db12 Backport adb/fastboot udev rules (BZ#2356537)
* f6b814cc0f Backport CI fix
* d304477023 Version 257.5

mkosi: update opensuse commit reference to 2dc224ae5d446e928519315f4d46f76d1e34b8a8

* 2dc224ae5d Update systemd to version 257.6 / rev 448 via SR 1281804
* 15818e66dd Update systemd to version 257.5 / rev 447 via SR 1278063
* 2480ac89f0 Update 000product to rev 4383
* c381cdada8 update 2025-04-11 16:42
* bb036b2b8e Update systemd to version 257.4 / rev 444 via SR 1252776
* 55ae12d80b Update systemd to version 257.3 / rev 443 via SR 1249841
* a7fcf45b77 Update systemd to version 257.3 / rev 442 via SR 1247443

mkosi: update arch commit reference to 15cb472aeb4d93d7fae9c7b7bc2cd6723bc8ec85

* 15cb472aeb upgpkg: 257.6-1: new upstream release
* 1c11767e01 upgpkg: 257.5-3: backlight: Drop support for actual_brightness
* 489e88099e upgpkg: 257.5-2: fast-forward to current v257-stable

resolve: several further fixes for reloading config (#37856)

Fixes #37843.

terminal-util: fix doubled 'to' in log messages

Follow-up for 3390be38d19c9d339bbc0e003743ce4278aa58b6.

TEST-75-RESOLVED: add test case for reloading DNSStubListenerExtra=

manager: also restart stub listner on reload

Previously, the extra stub listners were stopped but new ones were not
started. Also, the main stub listners were not restarted, hence the
new settings were not applied. This fixes the above two issues.

Note, to fix the issue, we need to keep CAP_NET_BIND_SERVICE capability
to make it allow to bind stub listner later.

Fixes #37843.

resolve: several cleanups for manager_dispatch_reload_signal()

- set defaults after all existing configs and setups cleared,
- mention failures are ignored in log messages,
- drop one redundant log message,
- do not return negative errno but exit event loop on critical failure.

resolve: several cleanups for manager_new()

- mention the error is ignored in the log message,
- drop redundant log message, as dnssd_load() logs on failure,
- voidify manager_load_delegates().

resolve: coding style fix

resolve: fix indentation

terminal-util: modernize ptsname_malloc a bit

network/tunnel: several cleanups for Mode= setting and make sit and ipip tunnel support it (#37853)

Closing #37377.

meson: enable -Werror=missing-parameter-name

socket-util: drop duplicate SCM_MAX_FD definition

We already carry it in missing_socket.h

test-network: add tests for tunnel mode

network/tunnel: make sit and ipip tunnel support Mode= setting

Closing #37377.

network/tunnel: rename Ip6TnlMode to TunnelMode

This also makes ip6tnl can be created without specifying Mode= setting,
as the kernel accepts new-link netlink message without the
IFLA_IPTUN_PROTO attribute.

No effective functional change, just refactoring and preparation for
later change.

socket-activate: add a --now option to instantly start service (#37620)

test: add simple tests for systemd-socket-activate tool

test-network: add test case for issue #37714

I cannot reproduce the issue with the current git HEAD.
Let's add a test case that is used by the reporter of the issue.

networkd: actually install 80-namespace-ns-tun.*

Follow-up for: 19ac01efef6fa17f77b4510c1f14af316a13f40c

units: make sure the network tap driver is actually loaded

We have the After= line, but not the Wants= line. Fix that.

nsresourced: make sure "tun" driver is properly loaded and accessible

We need access to /dev/net/tun, hence make sure we can actually see
/dev/. Also make sure the module is properly loaded before we operate,
given that we run with limit caps. But then again give the CAP_NET_ADMIN
cap, since we need to configure the network tap/tun devices.

Follow-up for: 1365034727b3322e0adf371700cc540a1bcd95c1

NEWS: mention PersistLeases=runtime in [DHCPServer]

network: use PersistLeases=runtime on container/VM/namespace network interfaces

Follow-up for 9ccc369ff30138b9c2cf3ed8faf28d8fe42f8377.

Then, we can safely restart networkd or reconfigure the interface.

test-network: add test case for PersistLeases=runtime

network/dhcp-server: save and load leases in runtime directory when PersistLeases=runtime

With 9ccc369ff30138b9c2cf3ed8faf28d8fe42f8377, PersistLeases= is
disabled on the host side virtual interfaces for containers.

However, even it is not necessary to save the leases for containers
on a persistent storage, still we should save them on somewhere.
Otherwise, leases will be lost when networkd on the host is restarted
or the host side interface is reconfigured.

This introduce PersistLeases=runtime to save and load leases on runtime
storage.

sd-dhcp-server: reopen fd only when it is valid

Fixes a bug in 11b88419ae0004547a0724aa459ddcb5d243f25c.

network: hash_ops related fixlets (#37832)

Fixes #37830.

update TODO

network: use dns_name_hash_ops_free to manage domains

ordered-set: introduce ordered_set_put_strdup_full() and friends which take hash ops

network: use the same hash ops used when allocated

Fixes #37830.

network/can: properly handle CAN.RestartSec=0

Previously, 0 was ignored and restart-ms wouldn't get added to the
netlink message. Instead, set the attribute unconditionally.

stub: call LoadImage/StartImage from boot services when provided by shim

zsh: complete positional devpath in udevadm info/trigger

udev/rules.d: import hwdb before calling net_id builtin

The commit cdcb1eeeb883b2ecb3992865f458f874900ddb87 adds
ID_NET_NAME_INCLUDE_DOMAIN property support in net_id builtin.
The property is basically set through hwdb. However, previously hwdb was
imported after calling net_id builtin, hence when net_id is called, the
property was never set.

This makes hwdb is imported before calling net_id builtin, so that the
property is set when net_id is called if hwdb has an entry about that
for the interface.

Follow-up for cdcb1eeeb883b2ecb3992865f458f874900ddb87.
Fixes #37758.

network/dhcpv4: add ability to use BOOTP (#34888)

BOOTP can be used to sign a static IP to clients. Instead of using the
four message exchange, and Option 53 (DHCP Message Type) there is only a
two message exchange.

Add the following network option to enable BOOTP:

[DHCPv4]
BOOTP=yes

This will allow a two message request / reply sequence that doesn't
require DHCP message types.

Fixes: #34885

test-network: add test case for bootp

Co-authored-by: Yu Watanabe <watanabe.yu+github@gmail.com>

network/dhcp4: release previously acquired DHCP lease when BOOTP will be enabled

network/dhcp4: add ability to use BOOTP

Add the following network option to enable BOOTP:

[DHCPv4]
Bootp=yes

This will allow a two message request / reply sequence that doesn't
require DHCP message types.

Co-authored-by: Avram Dorfman <dorfman@est.org>

test-dhcp-client: add test for bootp clients

Verify that BOOTP replies are successfully handled by the sd-dhcp-client
when configured for BOOTP.

Co-authored-by: Avram Dorfman <dorfman@est.org>

sd-dhcp-client: add ability to support bootp

BOOTP can be used to sign a static IP to clients. Instead of using the
four message exchange, and Option 53 (DHCP Message Type) there is only a
two message exchange. This adds the support for this exchange.

Co-authored-by: Avram Dorfman <dorfman@est.org>
Co-authored-by: Yu Watanabe <watanabe.yu+github@gmail.com>

sd-dhcp-client: move comment to relevant place

dhcp: several coding style cleanups

- rename arguments for storing results,
- reorder arguments to move ret_xyz at the end,
- add several missing assertions.

dhcp: relocate type field

The type field is a DHCP-specific parameter. Relocate the parameter so
there is a clearer separation between DHCP and BOOTP parameters.

discover-image: several cleanups around image_discover() (#37813)

po: Translated using Weblate (Greek)

Currently translated at 34.6% (89 of 257 strings)

Co-authored-by: Jim Spentzos <jimspentzos2000@gmail.com>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/main/el/
Translation: systemd/main

sysext: drop unnecessary struct MethodListParameters

include/linux: update kernel headers from v6.16-rc1

vmspawn: add extra drives *after* the primary drive, not before

Otherwise, if you mix --image= with --extra-drive= you end up with
/dev/sda pointing to the latter, nor the former. Which is really weird
of course...

network: also check ID_NET_MANAGED_BY property on reconfigure

Previously, the property was checked only when an uevent is received,
so even if an interface has ID_NET_MANAGED_BY property, the interface
will be configured by networkd when reconfiguration is triggered e.g.
when interface state is changed.

Follow-up for ba87a61d05d637be9f0b21707f7fe3b0a74c5a05.
Fixes #36997.

test-network: improve bonding tests (#37808)

machinectl: several trivial cleanups and man page fix (#37812)

Fixes #27481.

network: use up_or_down() at several more places

discover-image: make image_discover() allocate hashmap when necessary

discover-image: coding style fixlets

machinectl: use _RUNNER_MAX rather than ELEMENTSOF()

machinectl: align table

man/machinectl: underscore is not allowed in machine name

Fixes #27481.

stub: call inner kernel directly

Since shim 16, it is not possible anymore to override the security arch
protocol to avoid signature check and measurements.

Also on Dell servers, EFI_SECURITY2_ARCH_PROTOCOL is not implemented, so
unexpected measurements on PCR 4 were still happening.

This just loads and run the kernel pe. We verify that there is no relocation
needed. Also for simplification, we assume and verify that the base address is
expected to be 0.

test-network: add test case for issue #32186

The reporter said that the issue is caused by BindCarrier=, but
I cannot reproduce it. Anyway, let's test it.

test-network: read the current link flags of bond interface

Follow-up for 2700d2c7dc024b71396d564a53f32638efed77af.

login: drop unnecessary dependency to libacl

With c960ca2be1cfd183675df581f049a0c022c1c802, logind does not handle
ACL anymore, but triggers events for udevd and udevd updates ACL.
Hence, libacl is not necessary for logind.