Fix eloop better

Apple: remove compile warnings

eloop: fix a compile issue on Dragonfly while here

Fix compat

Fix compile

compat: add getpeereid.c and move compat out of control.c

Fix compile on IllumOS

Format

recvmsg WAITALL

Bound the data length

Fix the control socket for dhcpcd-ui

Add --isprivileged to return either true or false so the
caller can work this out as we now just have the one socket.
Bump version for this.

Add compat for Ilumos

Fix compile on Linux

control: remove unprivileged socket

Instead workout credentials from the connected socket
by getpeereid(2).
Remove the limit of only one connected control client.

This needs some testing and is only expected to compile on the BSDs
right now.

Build all the targets on macos

* Build all the targets on macos

options: Introduce policy groups

Remove the old bitmask array which we used to store which
options to request, remove, require, etc and replace with a
more generic policy group.

The policy group structure holds an array of option numbers
in each list - request, remove, require, etc.
Add a suite of helper functions around this to allow adding,
removing, checking, walking, etc.

This allows a much easier use of this in DHCP processing but more
importantly allows us to remove or reject options we do not
have a definition for.

privsep: Fix compile without INET

dhcp: add configurable backoff parameters for DHCPv4 (#593)

In cloud and virtual environments the DHCP service is typically
ready within hundreds of milliseconds of the interface coming up,
and once ready, responds within single-digit milliseconds.  The
RFC 2131 defaults (4s initial interval, 64s backoff cap) are
designed for congested broadcast networks and are unnecessarily
conservative in this context.

Add three new configuration options to tune DHCPv4 retransmission:

  initial_interval  - initial retransmission interval (default 4s)
  backoff_cutoff    - exponential backoff cap (default 64s)
  backoff_jitter    - random jitter per retry (default ±1000ms)

Defaults match RFC 2131 so existing behaviour is unchanged.
Option naming aligns with dhclient (initial-interval, backoff-cutoff).
Minimum of 1 is enforced at parse time for interval and cutoff;
invalid values are logged and the default is used.

These options are DHCPv4-only; DHCPv6 retransmission follows
RFC 8415 constants and is not user-configurable.

Closes #406

Signed-off-by: Chris Patterson <cpatterson@microsoft.com>

IPv4: uset old_ia when adding an address causes early removal

This is true for NOALIAS configurations or Linux.

Reported by NVIDIA Project Vanessa

DHCPv6: When deprecating addresses, restart on prefix deletions

As that might invalidate the next address to iterate on.

Reported-by: CuB3y0nd <root@cubeyond.net>

DHCPv6: Prefix exclude option can be 17 octets (#671)

Well that's a simple off by one error

Reported-by: CuB3y0nd <root@cubeyond.net>

IPv6ND: Free routeinfo when it expires (#670)

Reported-by: CuB3y0nd <root@cubeyond.net>

control: Avoid hangup in the recvdata path

Instead return an error and bubble it up where it can be
hangup / freed more cleanly.

Reported-by: CuB3y0nd <root@cubeyond.net>

script: Fix buffer over and under flows in script_buftoenv

Enforce we have a buffer and it is terminated.
Rework code so that we no longer assert.

Reported by NVIDIA Project Vanessa

capsicum: Avoid some overflow issues in privsep sysctl

Limit olen to SIZE_MAX - sizeof(olen).

Ensure our buffer holds is big enough for olen AND newlen
AND is zeroed out as the following sysctl call might return
less data.

Reported by NVIDIA Project Vanessa

IPv6: Fix numerous issues extending temporary address times

Fix a potential integer underflow if pltime is less than
aquisition time.
Fix potential time truncation to uint32_t.

Reported by NVIDIA Project Vanessa

DHCP6: Fix configuring the suffix to delegated prefixes (#665)

Depending on the delegated prefix length and the user
configured suffix length, some parts of the suffix would be lost.

Reported by NVIDIA Project Vanessa

vsio: Allow zero length options

The spec allows it and this is an oversight.

eloop: Fix compile warning where UTIME_MAX is a calculation

And does not have correct parenthesis

workflows: limit to read only

eloop: Improve timespecdiff

Avoid signed integer overflow.
Fix a potential wrap around issue on 32-bit platforms.
Correctly use nanoseconds when adding a timespec timeout.

Reported by NVIDIA Project Vanessa

configure: Don't define _BSD_SOURCE for explicit_zero()

As newer glibc complains it should no longer be used.
Sigh.
Luckily _GNU_SOURCE still works and newer muscl works with that.

ipv6: Only regen temp addrs with sufficent pltime

If pltime is smaller then REGEN_ADVANCE then the address
would be regnerated way after pltime and vltime expired.

Reported by NVIDIA Project Vanessa

hooks: don't read past truncated ip6 address starting fe

We want to append the interface name to link-local addresses.
But we might get a truncated address as well and an attacker
could just supply the fe part. In this case, ensure we have
enough of the address to read the next byte otherwise don't
append the interface name.

Reported by NVIDIA Project Vanessa

auth: Ensure remaining dlen matches hash digest length

It's invalid otherwise.

Reported by NVIDIA Project Vanessa

auth: clear keys with memset_explicit

Supply compat/memset_explicit for platforms which lack it.
Adpat compat/arc4random.c for it.

Reported by NVIDIA Project Vanessa

privsep: Check data is terminated when a string

Reported by NVIDIA Project Vanessa

ARP: Iterate over states safely as the cb could remove ours

Reported by NVIDIA Project Vanessa

DHCP: Sanitise messages from servers for output

They could contain anything!

Reported by NVIDIA Project Vanessa

Fix CI build

udev: Ensure we have a subsystem, action and ifname

As udev could return NULL for them.

Reported by NVIDIA Project Vanessa

hooks: Quote assignment of compat vars correctly

Reported by NVIDIA Project Vanessa

ARP: check we have enough to read the frame header

Reported by NVIDIA Project Vanessa

ND: Enforce require and reject policy

Reported by NVIDIA Project Vanessa

DHCP6: Ensure IA_PD Prefix Length is valid

Reported by NVIDIA Project Vanessa

ND6: fix OOB reject mask for an undefined option

Reported by NVIDIA Project Vanessa

options: Fix userclass boundary

Reported by NVIDIA Project Vanessa

linux: Ensure NLA data boundaries are valid

Reported by NVIDIA Project Vanessa

privsep: ps_root_readfile should return the real file size

readfile NUL terminates the buffer to make things easy.
We need to transmit this over IPC just ensure the receiver has
a big enough buffer, again to make things easy.
So on success, we need to trim the NUL from the returned length
so the actual file size is accurate.

timezone: disallow directory traversal

Don't allow a timezone definition to go outside of it's directory

Reported by Hu Xinyao and NVIDIA Project Vanessa

privsep: Simplify readerror

And while here fix reading large DHCPv6 leases as well as exiting on stream error.

privsep: Remove PS_BUFLEN

We always send a header with the expected lengths.
So use malloced buffers to send and receive using this
knowledge.

script: Use correct buffer length variable (#641)

Final call to the control queue used the wrong 'buflen'
variable. Change so the function stays consistent.

Signed-off-by: Cezar Craciunoiu <cezar@unikraft.io>

sun: Enable building for privsep

privsep has never worked on Sun.
To be fair, it's not any better because all processes
run as root, outside a chroot and without limits.

So why do this?

So we can eventually remove all non privsep code from dhcpcd, to
reduce complexity and provide a more secure platform for other OS.

privsep: Don't open PF_INET socket for each ioctl

Because we already have it open ....

BPF: fix libpcap compile

DHCP6: guard against an interface delegated too disappearing

This is very unlikely in the real world because you don't
delegate to interfaces which are removable.
In my testing the guard is not needed as things are cleaned up
correctly but this guard still helps to make sure.

options: Remove some const to fix compile warnings

I mean we do modify the data...

privsep: guard setproctitle and only use compat on linux

privsep: avoid a compile warning on systems without setproctitle

DHCP: Don't add a trailing : on vendor if no machine arch

DHCP: Don't really expire the lease when testing

privsep: Add ps_root_gethostname

For those OS who need it in a chroot.

privsep: Always seed arc4random

Some libc implementations will cache what random resource it
needs.
For those that don't .... good luck!

if: if_init inits the interface from the kernel

if_init_os inits the OS from the interface

privsep: Test defines for all ioctls

route: Use HAVE_RT_MISSFILTER rather than a generic BSD define

time.h always pulls in struct timespec

script: add ifxname as the escaped string

$interface is used for creating files.
$ifxname is used to reference the interace directly.

This is an important distinction for OS who can put
path separators or invalid path characters into the
interface name.

privsep: smaller buffer size without INET6

dhcp-common: Escape ifname for lease file

It's possible a characters allowed in an interface name
aren't shell or human readable on some OS.

While here, fix some formatting issues and ensure all PR's are formatted correctly.

privsep: Don't abort if we don't need a fdwaiter

dhcpcd: Don't add a link_fd if we don't have one.

route: Rework rt structure so sockaddrs are pointers (#621)

For each sockaddr, put a sockaddr_storage in the rt and
reference it.
This removes the need of a union and the macro dance
around it.

compat: Add support for getprogname(3)

Removes all inlined variations into a common single one.
Only supports Linux (which is all we did anyway), but now adds detection for program_invocation_short_name in libc and will use that OR package name.
All Linux libc should support this.

script: Don't assume AF_PACKET of if not AF_LINK

BPF: Improve headers

eloop: mark eloop as UNUSED for waitfd and ppoll

Adapt codebase for new pidfile

pidfile: Import latest from NetBSD

Features improved chroot and sandbox support.

eloop: set errno = EBADF rather than calling close if waitfd == -1

This avoids valgrind complaining.

Darwin: Add initial support for macOS (#613)

Apple route(4) has some limitations as does getifaddrs(3).
Basically there is no means of being notified of carrier state
because Apple only reports this via media state which is an ioctl.

The good news is that we can build macOS on github so we
can get some BSD traceability at least.

Fixes #524

eloop: fix USE_PPOLL define

privsep: Adapt to new eloop_waitfd()

eloop: Add eloop_openfdwaiter() and eloop_closefdwaiter()

Use kqueue or epoll for eloop_waitfd().
This requires opening a new kqueue or epoll to handle this as
this is a one shot event we don't want to touch the eloop events.

This works with RLIMIT_NOFILE = 0.

DHCP6: Delete the eloop event before closing an ia listener socket

This only happens when dhcpcd is running on a specific interface
and can trigger erroneous logs deleting the socket from
kqueue/epoll.
With the prior eloop it could also trigger ia events from a
non related fd if re-used.

Hopefully fixes #596.

eloop: always remove event from list on delete

Event if kevent or epoll return an error from the operation.
We still return the error so the caller can log a diagnostic.

Thanks to Graham Northup for the hint.
May help with #596.

Merge pull request #610 from NetworkConfiguration/esc_ifname

hooks: Escape interface names and use printf

hooks: Escape interface names and use printf

In the Hurd, interface names can include invalid characters like `/`.
So those must be escaped.

Merge pull request #607 from NetworkConfiguration/bpf

BPF: Split OS specific code out into own files and add libpcap support

BPF: Correct libpcap warning

BPF: Add a DLPI interface

This works alongside the BSD interface.
We use the BSD interface for receiving and the DLPI interface
for sending.

BPF: Test for pcap_set_immediate_mode()

BPF: harden libpcap on BSD

It's unlikely that pcap_setwritefilter() and pcap_lockfilter()
will make it into a release, so harden a pcap without these ourself
for the time being.

BPF: Use pcap_setwritefilter() and pcap_lockfilter()

If available.
Upstream PR: https://github.com/the-tcpdump-group/libpcap/pull/1683

BPF: Address review comments

BPF: Add support for libpcap

This makes it easier to support OS's where we don't have kernel
support for any BPF ourselves, such as GNU/Hurd.

BPF: Fixup comment to indicate this could be used outside of dhcpcd

BPF: Simplify by splitting OS specifics into own files

privsep: Change IPC to use SOCK_STREAM (#604)

macOS does not support SOCK_SEQPACKET.

All our messages use a fixed header which includes the
lengths of all parts sent.
We can use these limits with MSG_WAITALL on blocking sockets
in place of MSG_EOR to get the same effect.

Start of the work for #524.