tests/system/etc/login.defs: define ENCRYPT_METHOD

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

Tests: Add a new user with a specified non-existing primary group

This is the transformation to Python of the test located in
`tests/usertools/01/06_useradd_invalid_named_primary_group.test`, which checks that `useradd` can not add a new user with invalid existing group as primary

lib/attr.h: exclude MCST LCC compiler from ATTR_MALLOC

This particular compiler defines GCC compatibility like Clang but doesn't support this attribute.

Signed-off-by: Alibek Omarov <a1ba.omarov@gmail.com>

lib/string/README: [v]aprintf(3) are in libc

[v]aprintf(3) are now part of a libc implementation: gnulib.
They are also documented in a manual page.  Thus, refer to them as
[v]aprintf(3).

Signed-off-by: Alejandro Colomar <alx@kernel.org>

Tests: Add a new user with a valid existing group as primary

This is the transformation to Python of the test located in
`tests/usertools/01/08_useradd_named_primary_group.test`, which checks that `useradd` can add a new user with a valid existing group as primary

usermod: make fail_exit the reverse of the locking in open_files

Signed-off-by: Pat Riehecky <riehecky@fnal.gov>

usermod: close_files should unlock in reverse of open_files

Signed-off-by: Pat Riehecky <riehecky@fnal.gov>

usermod: only unlock on close_files if we actually locked them

Reviewed-by: Alejandro Colomar <alx@kernel.org>
Signed-off-by: Pat Riehecky <riehecky@fnal.gov>

usermod: only lock shadow file as needed

When setting user attributes that have nothing to do with shadow
we don't need to lock it.

Closes: https://github.com/shadow-maint/shadow/issues/1540
Signed-off-by: Pat Riehecky <riehecky@fnal.gov>

Tests: Add a new user with a specified non-existing gid

This is the transformation to Python of the test located in
`tests/usertools/01/05_useradd_invalid_numeric_primary_group.test`, which checks that `useradd` fails to create a new user with non-existing group

lib/io/README: Add file

This documents the main APIs under 'lib/io/'.

Reviewed-by: Iker Pedrosa <ipedrosa@redhat.com>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/, src/: Use fgets_a() instead of its pattern

Except for the updated includes, this patch has been scripted with a
semantic patch:

$ cat ~/tmp/spatch/fgets_fgets_a.sp
@@
expression a, b;
@@

- fgets(a, countof(a), b)
+ fgets_a(a, b)

Applied as:

$ find lib* src -type f \
| xargs spatch --sp-file ~/tmp/spatch/fgets_fgets_a.sp --in-place;

Reviewed-by: Iker Pedrosa <ipedrosa@redhat.com>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/io/: fgets_a(): Add macro

Reviewed-by: Iker Pedrosa <ipedrosa@redhat.com>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/: Use countof() instead of hardcoded lengths

Reviewed-by: Iker Pedrosa <ipedrosa@redhat.com>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/fields.c: change_field(): Use a VLA

This allows using countof(), which is safer than a decoupled use of
the variable containing the length of the array.

Reviewed-by: Iker Pedrosa <ipedrosa@redhat.com>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/, src/: Use countof() instead of sizeof() with fgets(3)

Except for the added includes, this patch has been scripted with a
semantic patch:

$ cat ~/tmp/spatch/fgets_nitems.sp
@@
expression a, b, c;
@@

- fgets(a, sizeof(b), c)
+ fgets(a, countof(b), c)

@@
expression a, b, c;
@@

- fgets(a, sizeof b, c)
+ fgets(a, countof(b), c)

Applied as:

$ find lib* src/ -type f \
| xargs spatch --sp-file ~/tmp/spatch/fgets_nitems.sp --in-place;

Reviewed-by: Iker Pedrosa <ipedrosa@redhat.com>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

usermod: Update passwd entry when shadowing entry

If a new shadow entry is created, the passwd entry's password hash is
moved into shadow file and replaced with an "x". If this happens, update
the passwd file as well, otherwise the "x" is not written to disk.

Resolves: https://github.com/shadow-maint/shadow/issues/1580

Reproducer (as root):
```
BASE=$(mktemp -d)
mkdir -p $BASE/etc
useradd -P $BASE user
touch $BASE/etc/shadow
usermod -P $BASE -e 0 user
cat $BASE/etc/passwd
```

Incorrect output (before):
```
user:!:1000:1000::/home/user:/bin/bash
```

Correct output (after):
```
user:x:1000:1000::/home/user:/bin/bash
```

Reviewed-by: Alejandro Colomar <alx@kernel.org>
Signed-off-by: Tobias Stoeckmann <tobias@stoeckmann.org>

lib/, src/: Remove superfluous #include <assert.h>

Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/, src/, tests/: #undef NDEBUG before #include <assert.h>

Otherwise, assert(3) might do nothing, which would be unsafe.

The goal would be to not use assert(3) at all, actually, but as long as
we use it, we should make sure we do actually use it.

Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/, src/, tests/: Move <assert.h> to be the last #include

<assert.h> should always be the last include.  Otherwise, you risk some
indirect inclusion might affect the behavior of assert(3).

Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/sysconf: Move sysconf handling into own file

Move sysconf() calls and error handling into its own file.

While at it, adjust the data type for ngroup max value.

Requested-by: Alejandro Colomar <alx@kernel.org>
Reviewed-by: Alejandro Colomar <alx@kernel.org>
Signed-off-by: Tobias Stoeckmann <tobias@stoeckmann.org>

usermod: Check sysconf return value

Verify that sysconf does not return -1. It is not important if it's due
to an error or due to a missing upper boundary. In both cases, fall back
to a constant value.

Reviewed-by: Alejandro Colomar <alx@kernel.org>
Signed-off-by: Tobias Stoeckmann <tobias@stoeckmann.org>

useradd: Check sysconf return value

Verify that sysconf does not return -1. It is not important if it's due
to an error or due to a missing upper boundary. In both cases, fall back
to a constant value.

Reviewed-by: Alejandro Colomar <alx@kernel.org>
Signed-off-by: Tobias Stoeckmann <tobias@stoeckmann.org>

strchriscntrl: reject C1 control bytes (0x80-0x9F)

glibc's iscntrl() does not classify C1 control bytes as control
characters in any locale. The iscntrl() check was added as part of the
fix for CVE-2023-29383, which blocked C0 control characters, but C1
bytes were never considered.

The byte 0x9B is the C1 encoding of CSI (Control Sequence Introducer),
equivalent to ESC [. On terminals that interpret C1 codes (VTE-based
terminals such as GNOME Terminal, Tilix, Terminator, XFCE Terminal),
an attacker can inject terminal escape sequences into GECOS fields via
chfn. This allows visual spoofing of /etc/passwd output, for example
making a user's UID appear as 0 when viewed with cat.

Explicitly check for bytes in the 0x80-0x9F range in strchriscntrl()
so that valid_field() returns -1 (rejected) instead of 1 (non-ASCII
warning) for these bytes.

Before (unpatched chfn accepts C1 bytes and writes them to /etc/passwd):

  $ cat /etc/passwd | grep ubuntu
  ubuntu:x:1000:1000:ubuntu,,,:/home/ubuntu:/bin/bash
  $ chfn -r $'\xc2\x9b17D0\xc2\x9b3P\xc2\x9b1C0\xc2\x9b3P\xc2\x9b1Croot\xc2\x9b8m'
  Password:
  chfn: room number with non-ASCII characters: [...]
  $ cat /etc/passwd | grep ubuntu
  ubuntu:x:0:0:root,,:/home/ubuntu:/bin/bash

After (patched chfn rejects C1 bytes, /etc/passwd unchanged):

  $ chfn -r $'\xc2\x9b17D0\xc2\x9b3P\xc2\x9b1C0\xc2\x9b3P\xc2\x9b1Croot\xc2\x9b8m'
  Password:
  chfn: invalid room number: [...]
  $ cat /etc/passwd | grep ubuntu
  ubuntu:x:1000:1000:ubuntu,,,:/home/ubuntu:/bin/bash

Tested on Shadow 4.17.4-2ubuntu2 (Ubuntu 25.10, aarch64).

usermod: Create shadow entry with -e 0 or -f 0

If -e 0 or -f 0 are supplied but no shadow entry exists, these flags are
silently ignored. Internally, the supplied values (0) are compared with
static long values which are initially 0 as well. If they are identical,
usermod drops the flags.

This does not match usermod's manual page, which states that a missing
shadow entry is created. This is also true for any other valid command
line values, e.g. -e 1 or -f 1.

Reviewed-by: Alejandro Colomar <alx@kernel.org>
Signed-off-by: Tobias Stoeckmann <tobias@stoeckmann.org>

Tests: Add user with existing UID without -o flag

This is the transformation to Python of the test located in
`04_useradd_add_user_with_existing_UID_fail`, which checks that `useradd` fails to create a new user with existing UID without -o flag

lib/commonio.c: Diagnose non-text files

Closes: <https://github.com/shadow-maint/shadow/issues/1581>
Reported-by: Tim Zhou <tizhou@redhat.com>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

ci: run unit-tests in Ubuntu build

Run unit-tests as part of the Ubuntu build

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

ci: add missing `cmocka` dependency for Ubuntu runners

`cmocka` is required to run unit-tests

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

Tests: Add a new user with specified UID and GID

This is the transformation to Python of the test located in
`tests/usertools/01/04_useradd_specified_UID_and_GID.test`,
which checks that `useradd` is able to create a new user with specified uid and gid

Tests: Create user with custom uid options

This is the transformation to Python of the test located in
`tests/usertools/01/04_useradd_specified_UID.test`,

which checks that `useradd` is able to create a new user with specified uid

lib/io/syslog.h: SYSLOG_C(): Call setlocale(3) and free(3) unconditionally

Both setlocale(3) and free(3) are okay to call with a null pointer.

Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/io/syslog.h: SYSLOG_C(): Use a single local variable

There's no need for two variables, and this avoids one assignment.

Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/io/syslog.h: Rename local variable

Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/io/syslog.h: SYSLOG_C(): Split code to helper macro

The name of this macro makes it more evident what it does.  It's a
C-locale version of syslog(3).  We need to implement it as a macro
so that arguments such as strerror(3) are evaluated after setting
the C locale.  This would be impossible with a function.

Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/: Move <syslog.h> wrappers to "io/syslog.h"

Signed-off-by: Alejandro Colomar <alx@kernel.org>

Tests: Create user with comment, expiredate, inactive, shell and custom home

This is the transformation to Python of the test located in
`tests/usertools/01/03_useradd_additional_options.test`, which checks that
`useradd` is able to create a new user with comment, expiredate, inactive, shell and custom home

Fix build failure on hosts with gcc 10

We cannot just uname these unused parameters because gcc 10
need them. There will be error like below with gcc 10:

  lib/copydir.c:103:11: error: parameter name omitted

The Debian bullseye uses gcc 10 by default.

Most of the changes are done manually. Some changes in tests/unit
are done via the following shell command:
sed -i -e 's#void \*\*#MAYBE_UNUSED void \*\* _1#g'  tests/unit/test_*.c

Closes: <https://github.com/shadow-maint/shadow/issues/1530>
Signed-off-by: Chen Qi <Qi.Chen@windriver.com>

ci: run privileged system tests in CI

Signed-off-by: Hadi Chokr <hadichokr@icloud.com>

tests: add privileged useradd test for BTRFS subvolume homes

Add a privileged system test that verifies useradd can create home
directories as BTRFS subvolumes.

This test requires elevated privileges to use:
The BTRFS filesystem Framework class to create a /home directory on
BTRFS and check if the Users Home directory is a BTRFS Subvolume.

The test is intentionally isolated and excluded from default test runs
to prevent accidental execution on host systems.

Signed-off-by: Hadi Chokr <hadichokr@icloud.com>

tests: add privileged topology and test configuration

Extend the Python system test framework with a dedicated privileged
topology and configuration, while keeping privileged tests excluded
by default. And include a BTRFS Framework class for BTRFS Operations.

This ensures:
- Clear separation between safe and destructive tests
- No accidental execution of privileged tests in normal CI or local runs
- Explicit opt-in for privileged environments

Signed-off-by: Hadi Chokr <hadichokr@icloud.com>

doc: document privileged containers and privileged system tests

Document the distinction between unprivileged and privileged execution
modes for containers and system tests.

Add explicit warnings that privileged tests must never be run on the
host system, as they may mount filesystems, create loop devices, or
modify kernel-visible state.

Provide clear guidance on when privileged tests are acceptable and how
to execute them safely in disposable environments.

Signed-off-by: Hadi Chokr <hadichokr@icloud.com>

share: add privileged container support for CI and system tests

Introduce opt-in privileged container execution for CI and local runs.
This enables filesystem-level tests (e.g. BTRFS, mounts) while keeping
unprivileged execution as the default and safe path.

Changes include:
- Separate privileged and unprivileged builders
- Conditional Ansible roles and inventories
- Privileged test execution wiring
- --privileged support in container-build.sh

Signed-off-by: Hadi Chokr <hadichokr@icloud.com>

lib/string/strcmp/: str{,case}eq(): Simplify implementation

A one-liner macro is simpler, and works just fine.

We don't need the function at all, since we don't use it as a callback.
The macro changes the return type, but we don't really care about that
detail; we could cast it to bool, but we don't really need that, so keep
it simple.

Reviewed-by: Kees Cook <kees@kernel.org>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/string/strchr/: strnul(): Simplify implementation

This avoids an __auto_type local variable, and a GNU statement
expression.

Reviewed-by: Kees Cook <kees@kernel.org>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/defines.h, lib/, src/: Redefine SYSLOG() as a variadic macro

The double parentheses were used to fake a variadic macro with a
non-variadic one.  With a variadic macro, we remove the weird double
parentheses that were needed to call this macro, which BTW were
error-prone.  This would have prevented the bug fixed in 3f5ae5d5f1fd
(2025-09-10; "src/su.c: Fix incorrect (non-matching) parentheses").

Signed-off-by: Alejandro Colomar <alx@kernel.org>

usermod: Add option to automatically find subordinate IDs

Tools such as useradd(8) automatically select subordinate UID and GID
ranges based on settings in login.defs.
But when one wants to add subordinate IDs to an existing user, these
ranges have to be specified manually using the -w and -v options
of usermod(8).

Add a new -S / --add-subids option to usermod(8) which will, just like
useradd(8), find a range based on the settings in login.defs.

Signed-off-by: Richard Weinberger <richard@nod.at>

lib/string/README: streq(3) and strnul(3) are in libc

streq(3) and strnul(3) are now part of a libc implementation: gnulib.
They are also documented in a manual page.  Thus, refer to them as
streq(3) and strnul(3).

Signed-off-by: Alejandro Colomar <alx@kernel.org>

doc/contributions/coding_style.md: Refer to the man-pages style guide

Reported-by: "Evgeny Grin (Karlson2k)" <k2k@drgrin.dev>
Reported-by: Richard Weinberger <richard@nod.at>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

useradd: Correctly set subuid/subgid when using -F

The -F flag should bypass the -r flag and UID checks.

Closes: <shadow-maint#1255>
Signed-off-by: ndostert <crawax@cwxlab.fr>
Co-authored-by: Alejandro Colomar <alx@kernel.org>
Fixes: 3f7a72e9677b (2022-08-01; "useradd: add -F option for updating /etc/sub[ig]id for system accounts")

*/: chgpasswd(8): -m,--md5: Remove option

Signed-off-by: Alejandro Colomar <alx@kernel.org>

*/: chpasswd(8): -m,--md5: Remove option

This was the command-line equivalent of MD5_CRYPT_ENAB.  It deserves
the same fate.

Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/salt.c: Compact conditionals

Signed-off-by: Alejandro Colomar <alx@kernel.org>

*/: Remove support for MD5_CRYPT_ENAB

It has been deprecated for a very long time.  In fact, the first commit
that documented MD5_CRYPT_ENAB already documented it as deprecated.
6e3ad7a27546 (2007-11-20).

Signed-off-by: Alejandro Colomar <alx@kernel.org>

*/: expiry(1): Remove program

Password expiration is deprecated, and will be eventually removed.

The functionality of expiry(1) is the most superfluous of password
expiry and can be removed early.  This shouldn't conflict with any
existing regulations about password expiry.

Link: <https://github.com/shadow-maint/shadow/pull/1432>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

src/: Cosmetic

Fix style.

Reviewed-by: Serge Hallyn <serge@hallyn.com>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

*: Make support for SHA256 and SHA512 unconditional

This is necessary for later changing the fallback from the insecure DES
to something secure such as SHA512.

Link: <https://github.com/shadow-maint/shadow/issues/1278>
Reviewed-by: Serge Hallyn <serge@hallyn.com>
Cc: Andre Boscatto <andreboscatto@gmail.com>
Cc: Iker Pedrosa <ipedrosa@redhat.com>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/btrfs.c: Remove hardcoded Paths and resolve them via env to increase portability

Signed-off-by: Hadi Chokr <hadichokr@icloud.com>

lib/setupenv.c: Remove code wrapped in '#if 0'

This has not been tested in a long time --if ever--.

If we ever want to implement something, we should start from scratch.
But if we've survived for so long without it, I suspect we don't want
it at all.

Signed-off-by: Alejandro Colomar <alx@kernel.org>

configure.ac: fix checks for lastlog support

The check for lastlog.h was removed by mistake in a previous changset.

The configure script should terminate with an error if lastlog support
was requested but lastlog.h is not available.

Partial functionality is provided if ll_host is not a member of
struct lastlog.

Fixes: 1bdcfa8d3710 (2023-07-15; "lastlog: stop building by default")
Fixes: 9eea4bc9cf95 (2024-11-12, 2025-02-07; "configure.ac: Remove unused AC_CHECK_HEADERS() checks")
Signed-off-by: Mike Gilbert <floppym@gentoo.org>

src/useradd.c: Refactor long expression into many simple conditionals

Co-authored-by: Serge Hallyn <serge@hallyn.com>
Signed-off-by: Serge Hallyn <serge@hallyn.com>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

src/useradd.c: Factor out logic to helper functions

Co-authored-by: Serge Hallyn <serge@hallyn.com>
Signed-off-by: Serge Hallyn <serge@hallyn.com>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/prefix_flag.c: Remove 't' flag from fopen(3)

It is a Windows extension ignored by musl and glibc.  It is not in POSIX
nor ISO C.

Since most of our calls to fopen(3) don't use it, let's be consistent
and not use it anywhere.

Closes: <https://github.com/shadow-maint/shadow/issues/1541>
Acked-by: Mike Frysinger <vapier@gentoo.org>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

tests/unit/test_chkhash.c: add invalid hashes

Add comprehensive negative testing condition validation:
- Invalid algorithm prefixes and hash length validation
- Invalid delimiter handling
- Invalid salt characters and rounds parameter testing

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

tests/unit/test_chkhash.c: add edge test cases

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

tests/unit/test_chkhash.c: add special test cases

*, ! and empty strings are special valid cases for shadow's second
field. Add test cases for them.

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

tests/unit/test_chkhash.c: add MD5 and DES hash validation tests

Add basic MD5 and DES algorithm validation tests.

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

tests/unit/test_chkhash.c: add SHA-256 hash validation tests

Add comprehensive SHA-256 algorithm validation tests covering rounds and
salt cases.

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

tests/unit/test_chkhash.c: add SHA-512 hash validation tests

Add comprehensive SHA-512 algorithm validation tests covering rounds and
salt cases.

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

tests/unit/test_chkhash.c: add bcrypt hash validation tests

Add comprehensive bcrypt algorithm validation tests covering all
variants ($2a$, $2b$, $2x$, $2y$) with different cost factors.

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

tests/unit/test_chkhash.c: add unit tests for `is_valid_hash()`

Introduce unit testing infrastructure for the `is_valid_hash()`
function. Add yescrypt algorithm validation tests.

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

lib/chkhash.c: fix yescrypt hash length comment

Fix misleading comment that stated "43-char (minimum) hash" when
the actual regex pattern requires exactly 43 characters. Update
comment to accurately reflect the implementation behavior.

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>
Reviewed-by: Alejandro Colomar <alx@kernel.org>

configure.ac: simplify fgetpwent_r check

Signed-off-by: Mike Gilbert <floppym@gentoo.org>

configure.ac: drop check for setpgrp

The last use was dropped in eec97ce4c5a9fa57c387affeedd7a40c435b2b1f.

Signed-off-by: Mike Gilbert <floppym@gentoo.org>

configure.ac: drop AC_FUNC_UTIME_NULL

The codebase does not utilize the resulting HAVE_UTIME_NULL macro,
making this check pointless.

Signed-off-by: Mike Gilbert <floppym@gentoo.org>

configure.ac: drop unused libsubid_abi variable

Signed-off-by: Mike Gilbert <floppym@gentoo.org>

Merge remote-tracking branch 'alx/k'

lib/utmp.c: get_current_utmp(): Use memdup_T() instead of its pattern

Reviewed-by: "Evgeny Grin (Karlson2k)" <k2k@drgrin.dev>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/string/strdup/: memdup_T(): Add API

And update lib/string/README:
-  Rename MEMDUP() => memdup_T(), as we're moving away from upper-case
   macros to ones that actually say something about what they do in the
   name (_T for type-safe, and _a for array-safe).
-  memdup() is unimplemented.

Cc: "Evgeny Grin (Karlson2k)" <k2k@drgrin.dev>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/utmp.c: get_current_utmp(): Use simple assignment instead of memcpy(3)

memcpy(3) is overkill, and much more dangerous than simple assignment.
Simple assignment adds type safety, and removes any possibility of
buffer overflow due to accidentally specifying a wrong size.

Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/utmp.c: get_current_utmp(): Don't exit(3) from library code

This function already returned NULL on some errors.  It didn't make any
sense to exit(3) on allocation failure.  Instead, just return NULL.

Reviewed-by: "Evgeny Grin (Karlson2k)" <k2k@drgrin.dev>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

Update Serge's certificate

Closes #1525

configure.ac: fix detection of secure_getenv

lib/defines.h was looking for HAVE_SECURE_GETENV instead of of
HAS_SECURE_GETENV as defined in configure. This resulted in
shadow_getenv always being defined to getenv.

AC_CHECK_FUNC is linker test; it does not check for declarations.
Replace this with AC_CHECK_DECLS/HAVE_DECL_SECURE_GETENV.

Fixes: 3d921155e0a7 (2019-03-31; "gettime: Use secure_getenv over getenv.")
Signed-off-by: Mike Gilbert <floppym@gentoo.org>

configure.ac: remove redundant check for pam_fail_delay

This check was introduced in 276e406c (support for OpenPAM).
OpenPAM has never declared pam_fail_delay.

linux-pam has defined HAVE_PAM_FAIL_DELAY in its headers for a very long
time (before version history).

Signed-off-by: Mike Gilbert <floppym@gentoo.org>

Clarify allowed user and group names

Resolves #1536

src/passwd.c: add audit messages for aging operations

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

src/passwd.c: add audit messages for passwd

Add comprehensive audit messages for password operations, including
unlock, delete and expire operations.

Change update_shadow() to look up the actual target user instead of
using a dummy `passwd` struct. This ensures audit logging gets the
correct target UID. Audit logs should record the UID of the user being
affected (target), not the UID of whoever is running the passwd command
(source).

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

tests/unit: improve .gitignore to ignore all test executables

Replace specific test file entries with pattern-based ignoring of all
test_* executables while preserving test_*.c source files.

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>

keys/: Refresh my public key

Updated with:

$ gpg --armor \
--output A9348594CE31283A826FBDD8D57633D441E25BB5.asc \
--export alx@kernel.org;

Signed-off-by: Alejandro Colomar <alx@kernel.org>

updated Dutch translation

etc/pam.d/: Remove the old unused PAM configs for setuid account tools

Signed-off-by: Hadi Chokr <hadichokr@icloud.com>
Reviewed-by: Alejandro Colomar <alx@kernel.org>

src/: Disable and remove account-tools-setuid conditionals

Signed-off-by: Hadi Chokr <hadichokr@icloud.com>
Reviewed-by: Alejandro Colomar <alx@kernel.org>

configure.ac: permanently remove setuid account management tools

Signed-off-by: Hadi Chokr <hadichokr@icloud.com>
Reviewed-by: Alejandro Colomar <alx@kernel.org>

lib/chkhash.c: fix escaping in SHA-256 / SHA-512 / MD5 regexes

`\\n` inside square brackets doesn't include or exclude the
newline character. It includes or excludes a literal slash and
the literal character 'n'.

Fixes: c44f1e096a19 (2025-07-20; "chpasswd: Check hash before write when using -e")
Closes: <https://github.com/shadow-maint/shadow/issues/1519>
Signed-off-by: Adam Williamson <awilliam@redhat.com>

man/po: copy over login.defs.d/*.xml

When doing update-po, we copy man/*.xml into a tempdir, but
some of those files reference login.defs.d/*.xml, so copy
over those as well.

Signed-off-by: Serge Hallyn <serge@hallyn.com>
Tested-by: Alejandro Colomar <alx@kernel.org>

man/shadow.5.xml: Document "*"

Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/chkhash.c: is_valid_hash(): Comment meaning of !hash and *

Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/chkhash.c: is_valid_hash(): Update comment

This checks the entire shadow(5) 2nd field, which is more than just
a hash.

Reported-by: Tobias Stoeckmann <tobias@stoeckmann.org>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

lib/chkhash.c: is_valid_hash(): Accept an empty hash

It represents a passwordless account.
That is discouraged, but accepted.

Fixes: c44f1e096a19 (2025-07-20; "chpasswd: Check hash before write when using -e")
Link: <https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1124835>
Reported-by: Marc 'Zugschlus' Haber <mh+githubvisible@zugschlus.de>
Reported-by: "Serge E. Hallyn" <serge@hallyn.com>
Reported-by: Adam Williamson <awilliam@redhat.com>
Co-authored-by: "Serge E. Hallyn" <serge@hallyn.com>
Signed-off-by: Alejandro Colomar <alx@kernel.org>

tests/system/framework/utils/tools.py: apply style fix for tuple unpacking

Signed-off-by: Iker Pedrosa <ipedrosa@redhat.com>