duid: plug a potential memory leak

Release dhcpcd-9.3.1

privsep: Minor correction to prior logic

privsep: We need to ensure stderr is valid before testing if tty

privsep: Fix stderr redirection again

privsep: allow gettimeofday for SECCOMP

We need it for logging.

BSD doesn't use envp

setproctitle compat requires envp, not environ

The two could be different!
envp is NOT C or POSIX standard, but does appear to be a UNIX standard.

Just give up with setproctitle on Illumos

Their ps tools go out of their way to only show how it was launched :/

Change copyright on setproctitle.h

compat: Use libbsd's setproctitle(3)

Linux PRCTL variant, although more light weight, doesn't work on
some kernels.
This weighs in around 1k more, but always works.
It does play around with environ and args but unlike other
similar variants doesn't appear to stamp on what you actually
use in the program.

privsep: Always try and open syslog

Even if we don't print as otherwise we can't in a chroot.

privsep: Ensure command is for BPF first and interface valid second

Otherwise we won't call inet_dispatch on a message meant for it.

Linux: fix compile

privsep: Improve rights on launcher fork and stderr fds

privsep: Only start network proxy if we need to

Do this before starting it rather than it shutting down.

privsep: Only log chrooting from the launcher process

And the sandbox tech as well.
Rework stop_interface so we can reuse an option for marking
a process as the launcher.

if: always log about unsupported interface types in debug

dhcpcd: Simplify the link handling even more

Move the IS_LINK_UP macro to if_is_link_up function to reduce
binary size.
Rather than DHCPCD_LINK option controlling the carrier state,
use it in if_is_link_up to determine the outcome.

Wireless must be down if unknown.

dhcpcd: Simplify carrier handling more by using IS_LINK_UP macro

Removes the need for the LINK_DOWN_IFFUP state.
While here, remove the check for IFF_RUNNING when LINK_UNKNOWN
because that is OS specific.

Release dhcpcd-9.3.0

privsep: Remove capsicum specific hooks from BPF

We no longer change the filter as it's locked if the OS supports.

Don't log backticks.

privsep: We need getsockopt as well as setsockopt on the link socket

So we can report receive buffer size.
Important for route(4) overflow so we can try and set a bigger buffer.

privsep: allow CAP_SETSOCKOPT for route(4) fd.

If FreeBSD ever implements RO_MISSFILTER it will need special
rights to work over Capsium.

privsep: We now need to carry ifa_data for BSD

BSD: Fix compile for non NetBSD

Add a comment to prior incase I do something dumb like removing it

in the future if I forgot why it was there.

Fix a typo in a comment

privsep: fix crash when interface departs before bpf returns for it

BSD: struct if_data->ifi_link_state is the single source of truth

Vastly improve and simplify link detection on BSD.
dhcpcd either examines the whole system via getifaddrs(3) or
reacts to events via route(4).
In both cases we have struct if_data which has ifi_link_state.

Armed with this knowledge, we no longer need SIOCGIFDATA or
SIOCGIFMEDIA.

To solve the issue of newly attached interfaces having
LINK_STATE_UNKNOWN or some interfaces not even changing it,
we only change the local knowledge of interface flags when
reports them by getifaddrs(3) or route(4) when we change them.
For example, if we set IFF_UP and it succeeds we don't set this
internally until reported by the kernel as above.

This keeps flags and link state in sync with each other.
The hope is that the kernel can set the real link state before
it reports IFF_UP.

As such, we no longer require the poll option or need to enter a
tight loop for old interfaces.

BSD: Ignore vether(4) devices by default.

Clean up some warnings.

FreeBSD: Anticipate SIOCGIFDATA not working in Capsicum

BSD: NetBSD is the odd man out with SIOCGIFDATA

So setup the #defines like so.
On OpenBSD, pledge blocks it and there is no escape.
Luckily we already allow indirect ioctls via privsep so it works fine.

if: Always warn about ignored interfaces.

BSD: Of course DragonFly does SIOCGIFDATA differently..

Add a warning about prior

Revert double variable define

FreeBSD lacks SIOCGIFDATA it seems.

BSD: Use SIOCGIFDATA if no media support and no ifa_data

Hopefully this nails link state once and for all on BSD.

BSD: Detect initial link state in ifa_data

Not all interfaces report media state to get the link state.
However, link state is available from getifaddrs(3) ifa_data
for AF_LINK addresses.

Testing shows that link state is also sent correctly via
route(4) messages for the same interface.

This makes pppoe(4) interfaces more reliable on FreeBSD and OpenBSD.

dhcpcd: log carrier lost once more

Try and track link state better, regardless of if we're using
the interface or not.

privsep: Don't log sandbox type twice

privsep: Allow __NR_mmap for seccomp

Some malloc implementations might use it rather than brk.

privsep: Don't remove pidfile at exit

The privileged actioneer will remove it.

privsep: Add more platforms for seccomp

Really nutty. Why cannot a system header define a default?

privsep: Allow more syscalls for seccomp

dumplease now works over the control socket and stdin.

privsep: Send signal from launcher to master over the socket

rather than using kill which is not permitted in capsicum.
This also allows us to drop the proc pledge.

privsep: sandbox the launcher process

FreeBSD: Fix build

privsep: Avoid "unconfined" seccomp warnings

Unsure why these are needed atm....

privsep: Don't be noisy about the sandbox

privsep: Log if the platform sandbox is unavailable or available

This is kinda important.

privsep: Add the SECCOMP BPF sandbox for Linux

Now we have capsicum, pledge and the POSIX resource limited sandboxes
this was quite easy really.

Linux: Use SIOCSIFVLAN rather than SIOCSIFVLAN

privsep: Fold capsicum and pledge entry points into ps_entersandbox

Adjust prior so that message is logged before starting dev

Also add os_init incase other os need similar in the future.

Linux: detect network namespace and deny udev in one

udev says whether an interface name is stable or not.
In a network namespace, udev claims the interface does not exist.
This makes sense because udev only operates in the root namespace.

As such disable udev in a network namespace.

While here correctly spell initialise.

duid: Allow optional argument to specify ll or llt alongside uuid

install: Create DBDIR with mode 0750 by default

It shouldn't be 0755 as we might not want everyone to read
DHCP leases.

dhcpcd: Only manipulate stdin, stdout and stderr when valid

UNIX application expect these to exist even if pointed at /dev/null.
We cannot change which fd they use, it's always 0, 1 and 2.
But if these fd's are not open when dhcpcd is called, they could
be assigned to dhcpcd internals.

In this instance we should not use the streams in anyway or form.

logerr: Don't leak the logfile stream to scripts

README: Remove old reference to db dir needing user permissions

We've been using the original dirs since dhcpcd-9.1.

dhcpcd: avoid privsep errors if we error locking the pidfile

Should not happen on the happy path, but if it does, tidy the
resultant errors.

Release dhcpcd-9.2.0

DHCP: Fix compile without IPv4LL

configure: Remove PPOLL from config.mk

privsep: dump leases in a sandbox

dhcpcd: stderr callback fd may the reset by peer

When the process exits which is normal.

privsep: Dump leases from stdin in a limited sandbox

privsep: dropprivs can be static

privsep: limit rights for stdout/stderr/stdin using capsicum

FreeBSD: Don't rights limit stderr

Otherwise some utils in scripts will error with insufficient
capabilities.

dhcpcd: Redirect stdout/stderr to the launcher stderr descriptor

This actually make life really simple!
We no longer need to redirect stdout/stderr to /dev/null for privsep
and any script output is now captured again - and it all goes to stderr
as it should even if a script wants it to go to stdout.

On the happy path, only the master process will actually log anything
to stderr so we turn that off after we "fork".
On the unhappy path, logging to stderr/stdout *may* fail because
the launcher process *may* have exited.
We *could* have the master process as an intermediary but that's
just excess code to avoid errors which *should* not happen.
Regardless, any errror should still hit syslog.

privsep: Fix prior for FreeBSD.

dhcpcd: Setup a socketpair in the launcher to write to stderr

Rather than duping stderr down to the processes.
This allows us to reopen stdout and stderr onto /dev/null right
away and means only the launcher process writes to stderr.

The downside is that any stdout from the script is now lost.
If that's needed, we could setup a stdout socketpair as well.

logerr: Ensure that the fd err log is line buffered

privsep: Use xsocketpair

if: introduce xsocketpair, similar to xsocket

Old systems don't have SOCK_CLOEXEC, etc, this makes it easy.
While here, right limit the sockets.

DHCP: allow leasetime -1 to represent infinity

Easier to enter than 4294967295 seconds which is the real
representation of infinity.

DHCP: optimize prior for systems without IPv4 address lifetimes

DHCP: Adjust prior to be more generic

DHCP: Don't set address lifetimes when extending leases

Otherwise the kernel WILL remove them.
dhcpcd already manages address removal when needed because
some OS's do not support address lifetimes even for IPv6.

While here apply the same logic to IPv6.

dhcpcd: Rename function for prior now it no longer inits

dhcpcd: Adjust prior to ensure options exist for active interfaces before timeouts

DHCP: reason is BOUND when recovering from an expired extended lease

DHCP: When extending the lease, re-enter the DISCOVER phase.

dhcpcd: init new interfaces from route(4) overflow

This ensures that any newly active ones have an options structure.

DHCP: Request offered IP when using lastlease

Also, set expired state on using last lease rather than last lease extension.

privsep: Only the master process accepts signals

The master process dictates when processes should stop, which
allows for a clean shutdown when the admin issues `pkill dhcpcd`.

DHCP: Mark the state as expired on lase lease extension

Expired states do not claim any client IP to request from.

Use a minimum bufsize of 1 as 0 doesn't work on some OS.

privsep: Set a zero length receive buffer for write only sockets

We cannot use shutdown(2) because they are not connected.
Constantly draining would be a waste of CPU time, so just let
the buffer overflow. To ease the kernel as much as we can, set
a zero length buffer.

The kernel may still allocate a small buffer, but this is kernel
dependant and we're just trying to be helpful.

privsep: Improve some errors

dhcpcd: Fix logging we forked at exit.

Revert "Don't install /var/db/dhcpcd in the Makefile"

This was when the privsep code had the database directory in the
chroot, which it not longer is.

This reverts commit 5f275b7bd1ed4d1f830b7a60ba253a98f7ef6127.

Revert "privsep: shutdown read end of the write only sockets"

Fails noisly on Linux.

This reverts commit 5fc20ae1aa368e36f9cabcbc047cd7d8e468c5b7.