test: add lxc_config_item_is_supported() tests

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

lxccontainer: add lxc_config_item_is_supported()

This adds lxc_config_item_is_supported() as API extension. It allows to check
whether a given config item (e.g. lxc.autodev) is supported by this LXC
instance. The function is useful in the following scenarios:
1. Users have compiled liblxc from source and have removed a config items from
   the corresponding struct in confile.c. (For example, embedded users might
   decide to gut a bunch of options that they cannot use.)
2. Callers that want to check for a specific configuration item independent of
   the version numbers exposed in our version.h header.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #1531 from mar-kolya/master

Change sshd template to work with Ubuntu 17.04

Change sshd template to work with Ubuntu 17.04

A few things have changed and this patch makes container generated for sshd work in Ubuntu

Signed-off-by: Nikolay Martynov <mar.kolya@gmail.com>

Merge pull request #1529 from brauner/2017-04-28/create_proc_if_missing

utils: tweak lxc_mount_proc_if_needed()

utils: tweak lxc_mount_proc_if_needed()

Create /proc directory if it doesn't exist.

Closes #1475.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

conf: non-functional changes

Closes #1475.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #1528 from brauner/2017-04-28/close_fd_in_lxc_setup_devpts

conf: close fd in lxc_setup_devpts()

conf: close fd in lxc_setup_devpts()

This left the file descriptor to the underlying /dev/ptmx file open which
confused the hell out of criu. Let's close it.

Closes https://github.com/lxc/lxd/issues/3243.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #1527 from tenforward/japanese

doc: add lxc.limit to lxc.container.conf(5)

doc: add lxc.limit to lxc.container.conf(5)

Update for commit 93f9e90

Signed-off-by: KATOH Yasufumi <karma@jazz.email.ne.jp>

Merge pull request #1526 from brauner/2017-04-24/build_lxc_with_musl

confile: fix musl build

confile: fix musl build

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #1523 from brauner/2017-04-23/improve_cgfsng_debug

cgroups: improve cgfsng debugging

issue template: fix typo

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

cgroups: improve cgfsng debugging

In a lot of cases we need a list of the writeable cgroup controllers detected
by the cgfsng driver.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #1520 from brauner/2017-04-22/improve_loop

utils: use loop device helpers from LXD

Merge pull request #1522 from brauner/2017-04-22/lxc_issue_template

create ISSUE_TEMPLATE.md

create ISSUE_TEMPLATE.md

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

utils: use loop device helpers from LXD

Use the loop device helpers I wrote for LXD in LXC as well. They should be more
efficient.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

conf: non-functional changes

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #1519 from brauner/2017-04-21/setup_pts

conf: use bind-mount for /dev/ptmx

conf: use bind-mount for /dev/ptmx

AppArmor will refuse on /dev/ptmx being a symlink.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

conf: non-functional changes to setup_pts()

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #1514 from brauner/2017-04-18/autoconf_cap_get_file

autotools: check for cap_get_file

caps: return false if caps are not supported

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

autotools: check for cap_get_file

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #1513 from brauner/2017-04-17/skip_cap_get_file_on_android

caps: skip file capability checks on android

caps: skip file capability checks on android

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #1512 from 0x0916/fix-comment

attach|unshare: fix the wrong comment

attach|unshare: fix the wrong comment

Signed-off-by: 0x0916 <w@laoqinren.net>

Merge pull request #1511 from evgeni/typo

fix typo introduced in #1509

fix typo introduced in #1509

Signed-off-by: Evgeni Golov <evgeni@debian.org>

Merge pull request #1509 from brauner/2017-04-15/improve_lxc_id_map

idmap improvements

Merge pull request #1510 from 0x0916/fix-ls

ls: simplify the judgment condition when list active containers

ls: simplify the judgment condition when list active containers

Signed-off-by: 0x0916 <w@laoqinren.net>

conf: improve log when mounting rootfs

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

conf: check for {filecaps,setuid} on new{g,u}idmap

The new{g,u}idmap binaries where a source of trouble for users when they lacked
sufficient privileges. This commit adds code to check for sufficient privilege.
It checks whether new{g,u}idmap is root owned and has the setuid bit set and if
it doesn't it checks whether new{g,u}idmap is root owned and has CAP_SETUID in
its CAP_PERMITTED and CAP_EFFECTIVE set.

Closes #296.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

caps: add lxc_{proc,file}_cap_is_set()

Add two new helpers that allow to determine whether a given proc or file has a
capability in the given set and move lxc_cap_is_set() to static function that
both call internally.

Closes #296.

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

conf: lxc_map_ids() non-functional changes

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #1508 from brauner/2017-04-14/add_prlimit_implementation_for_bionic

android: add prlimit implementation for 32bit

android: add prlimit implementation for 32bit

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #1504 from Blub/limits-fixup

start: fix error handling when limits fail to apply

start: fix error handling when limits fail to apply

(The code was moved here from the child side of the startup
without adapting the error case.)

Signed-off-by: Wolfgang Bumiller <w.bumiller@proxmox.com>

Merge pull request #1276 from Blub/limits

Resource Limits

conf: less error prone pointer access

These functions define pointer to their key shifted by a
number and guard access to it later via another variable.
Let's make this more explicit (and additionally have the
pointer be NULL in the case where it is not supposed to be
used).

Signed-off-by: Wolfgang Bumiller <w.bumiller@proxmox.com>

test: resource limit config entries

Signed-off-by: Wolfgang Bumiller <w.bumiller@proxmox.com>

doc: add lxc.limit to lxc.container.conf

Signed-off-by: Wolfgang Bumiller <w.bumiller@proxmox.com>

conf: implement resource limits

This adds lxc.limit.<name> options consisting of one or two
colon separated numerical values (soft and optional hard
limit). If only one number is specified it'll be used for
both soft and hard limit. Additionally the word 'unlimited'
can be used instead of numbers.

Eg.
  lxc.limit.nofile = 30000:32768
  lxc.limit.stack = unlimited

Signed-off-by: Wolfgang Bumiller <w.bumiller@proxmox.com>

Merge pull request #1501 from jgillich/patch-1

remove obsolete note about api stability

remove obsolete note about api stability

Signed-off-by: Jakob Gillich <jakob@gillich.me>

Merge pull request #1500 from BegBlev/1498

make Alpine template more POSIX shell friendly #1498

avoid assigning  to a variable which is not POSIX shell proof (bug #1498)

Signed-off-by: Vincent Catros <vincent.catros@laposte.net>

Merge pull request #1494 from d4s/lxcinfo

Increased buffer length in print_stats()

Merge pull request #1493 from t-fohrer/t-fohrer-patch-4

Avoid waiting for bridge interface on bootup

Increased buffer length in print_stats()

Some "/sys" entries exceeds buffer size.
This results to some statistics loss ('BlkIO' in particular):

 wc -c /sys/fs/cgroup/blkio/lxc/alt/blkio.throttle.io_service_bytes
 318 /sys/fs/cgroup/blkio/lxc/alt/blkio.throttle.io_service_bytes

Signed-off-by: Denis Pynkin <dans@altlinux.org>

Avoid waiting for bridge interface if disabled in sysconfig/lxc | lxc-net via USE_LXC_BRIDGE

Signed-off-by: Torsten Fohrer <tfohrer@googlemail.com>

Merge pull request #1432 from brauner/2017-02-15/fix_lxc_execute_return_code

tools: exit with return code of lxc_execute()

Makefile: fix static clang init.lxc build

Signed-off-by: Serge Hallyn <serge@hallyn.com>

Merge pull request #1487 from t-fohrer/t-fohrer-patch-3

Keep veth.pair.name on network shutdown

Keep veth.pair.name on network shutdown

In case of a container that is rebooting, freeing veth.pair.name here results in losing given veth.pair name
(Only if given lxc_netdev is reused).

Signed-off-by: Torsten Fohrer <tfohrer@googlemail.com>

Merge pull request #1486 from stgraber/master

fedora: Fix i386 handling

fedora: Fix i386 handling

Signed-off-by: Stéphane Graber <stgraber@ubuntu.com>

Merge pull request #1483 from johnchen902/patch-1

Fix opening wrong file in suggest_default_idmap

Fix opening wrong file in suggest_default_idmap

Fixing the typo making `suggest_default_idmap` open `subuidfile`
instead of `subgidfile` to read subgid information.

Signed-off-by: Pochang Chen <johnchen902@gmail.com>

Merge pull request #1479 from brauner/2017-03-20/sysmacro

tree-wide: include <sys/sysmacros.h> directly

Merge pull request #1482 from stgraber/master

tests: Support running on IPv6 networks

tests: Kill containers (don't wait for shutdown)

We waste a lot of time waiting for Ubuntu containers to cleanly stop
right before we destroy them anyway.

Signed-off-by: Stéphane Graber <stgraber@ubuntu.com>

tests: Support running on IPv6 networks

Signed-off-by: Stéphane Graber <stgraber@ubuntu.com>

tree-wide: include <sys/sysmacros.h> directly

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #1476 from brauner/2017-03-20/sysmacro

tree-wide: include <sys/sysmacros.h> directly

tree-wide: include <sys/sysmacros.h> directly

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

Merge pull request #1474 from evgeni/no-default-passwords

don't set a default password for altlinux, gentoo, openmandriva and pld

Merge pull request #1473 from taikedz/keyservfix

Allow setting the key server as an environment variable

don't set a default password for altlinux, gentoo, openmandriva and pld

Refs: #1158
Signed-off-by: Evgeni Golov <evgeni@debian.org>

Change variable check to match existing style

Signed-off-by: Tai Kedzierski <dch.tai@gmail.com>

lxc-download.in / Document keyserver change in help

Signed-off-by: Tai Kedzierski <dch.tai@gmail.com>

lxc-download.in / allow setting keyserver from env

Checks if DOWNLOAD_KEYSERVER has already been set in the environment before setting a value

Signed-off-by: Tai Kedzierski <dch.tai@gmail.com>

Merge pull request #1468 from stgraber/master

python3: Deal with potential NULL char*

python3: Deal with potential NULL char*

Closes #1466

Signed-off-by: Stéphane Graber <stgraber@ubuntu.com>

Merge pull request #1433 from rjmccabe3701/bugfix/run-within-docker

Added 'mkdir -p' functionality in create_or_remove_cgroup

Merge pull request #1465 from geaaru/lxc-sabayon-unpriv

[lxc-sabayon] Disable _unprivileged_shift_owner for create unprivileg…

[lxc-sabayon] Disable _unprivileged_shift_owner for create unprivileged container images for lxd and lxc-download.

Signed-off-by: Geaaru <geaaru@gmail.com>

Merge pull request #1463 from armchair-philosophy/up_templates_arch

[templates] archlinux: resolve conflicting files

[templates] archlinux: noneed default_timezone variable

Signed-off-by: otofune <otofune@gmail.com>

[templates] archlinux: resolve conflicting files

- already found /etc/localtime
- duplicate creation /etc/resolv.conf

Signed-off-by: otofune <otofune@gmail.com>

Merge pull request #1462 from hallyn/2017-03-14/checknewuidmap

lxc-checkconfig: verify new[ug]idmap are setuid-root

lxc-checkconfig: verify new[ug]idmap are setuid-root

Signed-off-by: Serge Hallyn <serge@hallyn.com>

Merge pull request #1461 from jirutka/alpine

lxc-alpine: few modifications

lxc-alpine: use dl-cdn.a.o as default mirror instead of random one

Some mirrors from the mirrors list are not very reliable and it seems
that no one really wants to use some random mirror as the default
option.

Signed-off-by: Jakub Jirutka <jakub@jirutka.cz>

lxc-alpine: add community repository to default repositories

Signed-off-by: Jakub Jirutka <jakub@jirutka.cz>

Merge pull request #1460 from stgraber/master

Patch from Harald Dunkel + tweak

Fix mixed tab/spaces in previous patch

Signed-off-by: Stéphane Graber <stgraber@ubuntu.com>

Fix lxc-containers to support multiple bridges

Signed-off-by: Harald Dunkel <harald.dunkel@aixigo.de>

Merge pull request #1458 from brauner/2017-01-28/lxc_user_nic_ensure_target_netns_is_caller_owned

lxc-user-nic: improvements

conf: only try to delete veth when privileged

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

lxc-user-nic: delete link on failure

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

lxc-user-nic: improve + bugfix

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

lxc-user-nic: re-order #includes

Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>

CVE-2017-5985: Ensure target netns is caller-owned

Before this commit, lxc-user-nic could potentially have been tricked into
operating on a network namespace over which the caller did not hold privilege.

This commit ensures that the caller is privileged over the network namespace by
temporarily dropping privilege.

Launchpad: https://bugs.launchpad.net/ubuntu/+source/lxc/+bug/1654676
Reported-by: Jann Horn <jannh@google.com>
Signed-off-by: Christian Brauner <christian.brauner@ubuntu.com>