Add requested_reply to send denials, and connection loginfo to "would deny"

The requested_reply field is necessary in send denials too because
it's used in the policy language.  The connection loginfo lack in
"would deny" was just an oversight.

Add uid, pid, and command to security logs

Extend the current security logs with even more relevant
information than just the message content.  This requires
some utility code to look up and cache (as a string)
the data such as the uid/pid/command when a connection is
authenticated.

Conflicts:

bus/connection.c

Add optional logging on allow rules

This lets us have a backwards compatibility allow rule but still easily
see when that rule is being used.

Conflicts:

bus/config-parser.c

Add message type to security syslog entries

It's part of the security check, we should have it in the log.

Add syslog of security denials and configuration file reloads

We need to start logging denials so that they become more easily trackable
and debuggable.

Conflicts:

bus/bus.c
bus/config-parser-common.c
bus/config-parser-common.h
bus/config-parser.c
test/name-test/tmp-session-like-system.conf

Clean up and clarify default system policy

The former was too reliant on old bugs and was generally unclear.
This one makes explicit exactly what is allowed and not.

Conflicts:

bus/system.conf.in

Bug 18229: Allow signals

Our previous fix went too far towards lockdown; many things rely
on signals to work, and there's no really good reason to restrict
which signals can be emitted on the bus because we can't tie
them to a particular sender.

Bug 18229 - Change system.conf to correctly deny non-reply sends by default

The previous rule <allow send_requested_reply="true"/> was actually
applied to all messages, even if they weren't a reply.  This meant
that in fact the default DBus policy was effectively allow, rather
than deny as claimed.

This fix ensures that the above rule only applies to actual reply
messages.
Signed-off-by: Colin Walters <walters@verbum.org>
Conflicts:

bus/system.conf.in

Infrastructure for testing a "system like" bus in test suite

The tmp-session-like-system.conf bus configuration has a security
policy intended to mirror that of the system bus.  This allows
testing policy rules.

Add session.d to build structure, corresponding with commit a579e3b0

Fix build on recent glibc

Extracted from trunk commit be875094.

bump version after release

Released 1.0.3

CVE-2008-0595 dbus security policy circumvention

* CVE-2008-0595 - security policy of the type <allow send_interface=
  "some.interface.WithMethods"/> work as an implicit allow for
  messages sent without an interface bypassing the default deny rules
  and potentially allowing restricted methods exported on the bus to be
  executed by unauthorized users.  This patch fixes the issue.
* bus/policy.c (bus_client_policy_check_can_send,
  bus_client_policy_check_can_receive): skip messages without an
  interface when evaluating an allow rule

correctly unref connections without guids during shutdown

* dbus/dbus-connection.c (close_connection_on_shutdown): new method
  split out from shared_connections_shutdown
  (shared_connections_shutdown): shutdown all shared connections
  without guids
  (_dbus_connection_ref_unlocked): handle OOM when prepending no guid
  connections to the shared_connections_no_guid list
* Patch by  Kimmo Hämäläinen <kimmo dot hamalainen at nokia dot com>

2007-07-18  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-message.c (dbus_message_get_cached)
(dbus_message_cache_or_finalize): don't mess with message from
message cache outside of the cache lock. Bug #9164 from Jonathan
Matthew.

2007-07-10  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-connection.c (struct DBusConnection): Fix from Olivier
Hochreutiner to avoid trying to protect individual bits in a word
with different locks (make dispatch_acquired and io_path_acquired
dbus_bool_t rather than bitfields)

2007-06-08  Havoc Pennington  <hp@redhat.com>

* backport fix to allow a server to use port=0 or omit port so
the port can be auto-selected by the OS

2007-05-23  Havoc Pennington  <hp@redhat.com>

* bus/Makefile.am (install-data-hook): create session.d

* bus/session.conf.in: add session.d for the session bus, so
security policy can be extended

2007-04-27  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-sysdeps-unix.c (_dbus_open_socket): fix #10781 from
Tobias Nygren, checking pointer to fd vs. 0 rather than checking
the fd itself

Backport from MAIN:
* dbus/dbus-sysdeps-unix.c: capture the dbus-launch stderr
        output and add it to the DBusError message we return.

* tools/dbus-launch.1:
* tools/dbus-launch.c: Add option --close-stderr to, well,
close stderr before starting dbus-daemon.

I hope adding an option to dbus-launch in the 1.0.x series was ok.

2007-01-31  Havoc Pennington  <hp@redhat.com>

* bus/dbus-daemon.1.in: write a section in the man page on running
a test daemon for debugging purposes

2007-01-26  Havoc Pennington  <hp@redhat.com>

* bus/session.conf.in: override all the default limits with much
higher limits on the session bus, there is no reason the session
bus should have low limits

* bus/config-parser.c (bus_config_parser_new): increase default
limits so they are less likely to be hit; in particular the max
replies per connection was way too low

* bump release

* Released 1.0.2

* bus/signal.c: Fix match_rule_equal errata
  (CVE-2006-6107 - Patch from Kimmo Hämäläinen
  <kimmo.hamalainen@nokia.com>)

Backporting from HEAD:
* dbus/dbus-sysdeps-pthread.c (_dbus_pthread_mutex_lock,
        _dbus_pthread_condvar_wait,
        _dbus_pthread_condvar_wait_timeout): set pmutex->holder to
        pthread_self() after coming back from a conditional variable
        wait as well as in one codepath where it was forgotten.
Approved by: Havoc Pennington.

2006-11-17  Havoc Pennington  <hp@redhat.com>

* update-dbus-docs.sh: allow setting fd.org username via env
variable. Make it run autogen with --enable-xml-docs=yes
--enable-doxygen-docs=yes so configure will fail if the required
tools are missing.

2006-11-17  Havoc Pennington  <hp@redhat.com>

* doc/dbus-faq.xml: minor FAQ tweaks

* bump for next release

* Released 1.0.1

2006-11-14  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-misc.c, dbus/dbus-misc.h: Move
dbus_get_local_machine_id() to its own file, no substantive
changes. There are a couple other things we might want to add that
are "misc" so moving out of dbus-connection.[hc] which is big
enough already.

2006-11-14  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-internals.c (_dbus_generate_uuid): The spec said the
UUID had the timestamp last, but the implementation had it first;
move it to last since I think it's a tiny bit nicer (easier to
compare at a glance, faster to sort, less code), and will not
cause any practical compatibility problems. Also, always convert
the timestamp to big endian.

* doc/dbus-specification.xml: Clean up the docs on the UUID.

* tools/dbus-uuidgen.1: more prominently say it is not suitable
as a replacement for regular uuidgen/RFC4122.

* configure.in: Bump version to 1.0.1 for next stable release

* dbus/dbus-threads.h: fix DBUS_THREAD_FUNCTIONS_ALL_MASK to have
  the correct value so we don't assert when initalizing recursive threads

* test/name-test/test-thread-init.c: call dbus_threads_init_default
  instead of _dbus_threads_init_debug since it is more of a real world
  test

This commit was manufactured by cvs2svn to create branch 'dbus-1.0'.

* really release 1.0.0

* AUTHORS: added Peter and Tor of windows porting fame

2006-11-08  Havoc Pennington  <hp@redhat.com>

* doc/dbus-specification.xml: add a note about protocol stability

* doc/TODO: Remove "important for 1.0" section, replace with
"important for 1.2" section

* Released 1.0.0

* README: remove some of the out of date flags

* doc/TODO: Remove todo items which are done

* tools/dbus-monitor.c: Handle sigint so we flush stdout
  (Patch from Olli Salli <olli dot salli at collabora dot co dot uk>)

* tools/dbus-monitor.1: update the manpage for dbus-monitor
  (Patch from Olli Salli <olli dot salli at collabora dot co dot uk>)

* AUTHORS: Update with all people listed in the ChangeLog

* tools/dbus-monitor.c: add profiling tools to dbus-monitor
  (Patch from Olli Salli <olli dot salli at collabora dot co dot uk>)

1-char change

2006-11-07  Havoc Pennington  <hp@redhat.com>

* HACKING: Update release instructions to include stuff about
stable releases, branching, etc. May not be totally correct,
please fix if needed, but keep instructions up-to-date so we do
each stable release consistently in the future.

2006-11-07  Havoc Pennington  <hp@redhat.com>

* doc/dbus-specification.xml, doc/dbus-faq.xml, README: various
documentation updates. Bump faq/spec versions (not to 1.0; I don't
think the spec will be "finished"/1.0 when we ship the 1.0 library).

* bus/bus.c: Missed patch - pass in the context to the directory watch

* bump release

* Released D-Bus 1.0 RC 3(0.95)

* bus/activation.c (bus_activation_new): don't fail if we can not read
  the directory as it may not exist

* bus/config-parser.c (service_dirs_find_dir): use
  _dbus_list_get_next_link so we don't get stuck in an infinite loop
  (start_busconfig_child): move processing of standard_session_servicedirs
  tags here because they have no content
  (bus_config_parser_content): check we don't have content in
  standard_session_servicedirs tag

* tools/Makefile.am: Make sure the /var/lib/dbus directory is created
  Packagers need to own this directory

* missed the ChangeLog on the last commit

* tools/run-with-tmp-session-bus.sh: fixed script to replace the
  <standard_session_servicedirs> tag with a <sevicedir> tag that
  points to the test service directory

* configure.in: Add a check for DIR *dirp->dd_fd

* dbus/dbus-sysdeps-util-unix: if HAVE_DDFD is defined use
  DIR *dirp->dd_fd else use DIR *dirp->__dd_fd.  This takes care
  of both Solaris and Irix

2006-11-01  Havoc Pennington  <hp@redhat.com>

* bus/dbus-daemon.1.in: document standard_session_servicedirs

* configure.in: expose DBUS_DATADIR

* bus/config-parser.c: add the standard_session_servicedirs element
  to the parser
  (bus_config_parser_content): process the standard_session_servicedirs
  element by getting the standard directories from sysdeps and merging
  them into the service directory list
  (test_default_session_servicedirs): make sure we get what we expect

* bus/session.conf.in: replace the servicedir tag with the
  standard_session_servicedirs tag

* dbus/dbus-list.h: remove the typedef of DBusList and place it in
  dbus-sysdeps.h to avoid circular header dependencies

* dbus/dbus-sysdeps.h: add the typedef of DBusList

* dbus/dbus-sysdeps-unix.c (split_paths_and_append): utility function
  which takes a string of directories delimited by colons, parses them
  out, appends a suffix and puts them in a list ignoring empty elements
  (_dbus_get_standard_session_servicedirs): returns the standard
  directories for a session bus to look for service activation files
  on Unix which includes the XDG_DATA_HOME, XDG_DATA_DIRS and
  DBUS_DATADIR directories

* test/data/valid-config-files/many-rules.conf: add the
  standard_session_servicedirs tag to the valid config file tests

2006-10-30  Havoc Pennington  <hp@redhat.com>

* tools/dbus-launch.1, doc/TODO: capture intent to change the
command line options of dbus-launch a bit post 1.0

2006-10-27  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-connection.c (dbus_connection_open_private): document
how to choose shared vs. private connections

2006-10-27  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-test.c: enclose more of the file in the
DBUS_BUILD_TESTS check.

* dbus/dbus-sysdeps-pthread.c (PTHREAD_CHECK): fix for
DBUS_DISABLE_ASSERT case.

* dbus/dbus-connection.c (dbus_connection_get_unix_user): document
that it only works on the server side

* dbus/dbus-bus.c: add a global lock covering the BusData we
attach to each connection
(internal_bus_get): lock our access to the BusData
(dbus_bus_register): lock the entire registration process
with _DBUS_LOCK(bus_datas). If we get the lock and
registration is already complete, silently return (vs. previous
behavior of aborting).
(dbus_bus_set_unique_name): lock the BusData
(dbus_bus_get_unique_name): lock the BusData

* bus/config-parser.c (service_dirs_find_dir,
  service_dirs_append_unique_or_free,
  service_dirs_append_link_unique_or_free): New static methods
  for only appending unique service directory names into
  the service directory list
  (merge_included, bus_config_parser_content): Only add unique
  service directory names into the list

2006-10-27  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-sysdeps-pthread.c: make the "count" and "holder"
variables volatile, suggested by Thiago. Document struct fields.
(PTHREAD_CHECK): remove pthread error checking if assertions are
disabled, should reduce the no-assertions case to the bare
minimum code.

2006-10-26  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-sysdeps-pthread.c (_dbus_pthread_mutex_lock): change
to be recursive
(_dbus_pthread_mutex_unlock): make it recursive
(_dbus_pthread_condvar_wait): save/restore the recursion count
(_dbus_pthread_condvar_wait_timeout): save/restore the recursion count

2006-10-26  Havoc Pennington  <hp@redhat.com>

* doc/dbus-specification.xml: clarify the UUID text slightly

* dbus/dbus-sysdeps-pthread.c: check for and mostly abort on
pthread errors. Add DBusMutexPThread and DBusCondVarPThread
in preparation for being able to extend them for e.g. recursive
mutexes.

2006-10-26  Havoc Pennington  <hp@redhat.com>

        * dbus/dbus-threads.[hc]: Documentation improvements. Clarify how
condition variables relate to recursive mutexes.

        * dbus/dbus-sysdeps-pthread.c, dbus/dbus-sysdeps-win-thread.c,
dbus/dbus-threads.c: Split the platforms-specific thread
implementations into their own files.

* dbus/dbus-sysdeps-pthread.c
(_dbus_pthread_condvar_wait_timeout): invert the return value, it
was backward. Not that anything uses it.

* dbus-sysdeps-unix.c (_dbus_set_local_creds): Clean up the
  LOCAL_CREDS vs CMSGCRED stuff a bit.  Prefer CMSGCRED.  This
  needs to be cleaned up more.

* doc/TODO: Add a todo that *BSD hackers should look at cleaning
  up the CREDS issue.

* configure.in, dbus-1.pc.in: Check to see if thread methods
  are in glibc or libpthread and add -lpthread to the link stage
  if it is the latter

* dbus/dbus-connection.c (_dbus_connection_open_internal): Fix
        bug 8780: the connection lock is only required while recording
        the shared connection, so protect only that code
        section. Don't require connection_lookup_shared to return a
        locked connection.

* tools/dbus-launch-x11.c (get_session_file, init_x_atoms):
        check if get_machine_uuid() returns NULL before proceeding any
        further: we can't init the X atoms or create a session file
        name if there is no machine ID.
This solves a crash reported by some users if
        --exit-with-session was used without --autolaunch=<machine-id>

* tools/dbus-launch.c (main): run the dbus-daemon in the builddir
  if tests are enabled and the DBUS_USE_TEST_BINARY env variable is set

* tools/run-with-tmp-session-bus.sh: set DBUS_USE_TEST_BINARY
  before we run dbus-launch

* configure.in: define TEST_BUS_BINARY to be the full path to
  dbus-daemon in the build root

2006-10-25  Sjoerd Simons  <sjoerd@luon.net>

   * dbus/Makefile.am:
   * tools/Makefile.am:
   * toos/dbus-uuidgen.1:
      Move the machine-id file to /var/lib/dbus

2006-10-24  David Zeuthen  <davidz@redhat.com>

        * dbus/dbus-threads.c (init_uninitialized_locks): Fix typo so it's
        _dbus_assert (thread_init_generation != _dbus_current_generation)
        not _dbus_assert (thread_init_generation == _dbus_current_generation)

* dbus/dbus-sysdeps.h:
* dbus/dbus-sysdeps-unix.c: Add function
_dbus_make_file_world_readable that chmods a file to 0644.

* dbus/dbus-sysdeps-unix.c (_dbus_get_autolaunch_address):
        Avoid writing to the static "argv" array, thereby avoiding a
        COW on the child process.

* dbus/dbus-internals.c (_dbus_create_uuid_file_exclusively):
        call _dbus_make_file_world_readable on the created file.

2006-10-23  David Zeuthen  <davidz@redhat.com>

        * dbus/dbus-memory.c: Use atomic variable to protect
        n_blocks_outstanding otherwise OOM will be reported using SMP on
        some arches

        * bus/dispatch.c: Add missing end of line characters

        * bus/desktop-file.c (parse_section_start, parse_key_value)
        (bus_desktop_file_load): Propertly handle OOM

        * dbus/dbus-threads.c (init_uninitialized_locks): Check that
        thread_init_generation equals _dbus_current_generation, not 0

2006-10-22  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-connection-internal.h: move prototype of
_dbus_bus_notify_shared_connection_disconnected_unlocked() here so
it isn't in a public header and doesn't end up in the DBusBus
group in Doxygen

2006-10-21  Havoc Pennington  <hp@redhat.com>

* Makefile.am (EXTRA_DIST): dist cleanup-man-pages.sh so it's in
the tarball if packagers want to run it

* cleanup-man-pages.sh: Add a script which munges all the internal
API man pages out of the Doxygen output. This reduces the size of
the installed man pages from 7 to 2 megs, and avoids
namespace-polluting pages. Right now (like Doxygen) this script
isn't in the build, it's something packagers can do manually.

2006-10-21  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-connection.h: don't include the watch/timeout
functions in connection section

2006-10-21  Havoc Pennington  <hp@redhat.com>

* Documentation! Whee! Doxygen now 100% silent. If you make it
angry again, you will be punished.

2006-10-21  Havoc Pennington  <hp@redhat.com>

* More documentation - all public API now documented according to
Doxygen

2006-10-21  Havoc Pennington  <hp@redhat.com>

* Document a bunch of undocumented stuff

2006-10-21  Havoc Pennington  <hp@redhat.com>

* Clean up Doxygen group markers for public API so Doxygen finds
everything (not comprehensively fixed for private API).
Means all remaining Doxygen warnings are just about missing docs
and thus pretty simple to resolve.

2006-10-21  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-macros.h: add DBUS_GNUC_DEPRECATED macro

* dbus/dbus-message.h: mark dbus_message_iter_get_array_len()
as DBUS_GNUC_DEPRECATED

2006-10-21  Havoc Pennington  <hp@redhat.com>

        * Move all private API into the private Doxygen group sections of
the files, so they don't show up in the public API docs

2006-10-21  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-message.h: put #ifndef DBUS_DISABLE_DEPRECATED around
dbus_message_iter_get_array_len().

* throughout: documentation improvements.

fix typo

more todo items

2006-10-20  Havoc Pennington  <hp@redhat.com>

* doc/TODO: remove the int64 thing from 1.0 since it doesn't
matter, and the message-loader-breaker thing since nobody is going
to do it.  Add an item to 1.0 about supporting recursive locks
in dbus_threads_init_default() though, since it should be easy.

* dbus/dbus-connection.c (_dbus_connection_read_write_dispatch):
Fix this in the !dispatch case to avoid busy-looping after
disconnection

        * More misc docs improvements

2006-10-19  Havoc Pennington  <hp@redhat.com>

* more Doxygen-related fixes (lots of moving things from the
public to internal section in dbus-connection.c)

remove untrue comment

2006-10-19  Havoc Pennington  <hp@redhat.com>

* Fix a pile of Doxygen warnings and missing docs

* bus/dir-watch-default.c, bus/dir-watch-dnotify.c,
  bus/dir-watch-kqueue.c (bus_watch_directory): Pass in a BusContext
  instead of a void *.  kqueue uses this to get the context's loop
  while the other modules ignore the parameter.  This allows us to
  avoid platform conditionals

* bus/bus.c (process_config_postinit): Pass in the context to the
  watch

* bus/messagebus.in, bus/rc.messagebus.in: run dbus-uuidgen --ensure
when starting the system bus

* configure.in: More fixups for cross compile (Patch from
  Marco Pracucci <development at pracucci dot com>)

2006-10-17  Havoc Pennington  <hp@redhat.com>

* tools/dbus-send.c (main): don't close shared connection, fix
from Timo Hoenig

2006-10-17  Havoc Pennington  <hp@redhat.com>

* configure.in (CPPFLAGS): don't do -DDBUS_API_SUBJECT_TO_CHANGE here

* dbus/dbus.h: drop the DBUS_API_SUBJECT_TO_CHANGE requirement,
since realistically it doesn't look like we'll be changing it
anymore.

2006-10-17  Havoc Pennington  <hp@redhat.com>

* dbus/dbus-internals.c (_dbus_warn_check_failed): new function to
be used for return_if_fail type warnings; prefixes the pid, and
fatal by default.

- bump version

* configure.in: Released 1.0 RC 2(0.94)
  Add check for -fPIC and enable it if available

* doc/TODO: Remove the check TODO item

* dbus-transport-socket.c (exchange_credentials):
  Print out more detailed errors if reading or sending
  credentials fail (Patch from Julio M. Merino Vidal
  <jmmv at NetBSD dot org>)

* configure.in: when checking for posix getpwnam_r assume true
  for cross compiles