conf-parser: add specific parser for PID values

tree-wide: use config_parse_safe_string() at various places

conf-parser: update config_item_*_lookup() to follow modern coding style

Let's rename the return parameters ret_xyz, and always initialize them
if we return >= 0, as per our current coding style.

conf-parser: refuse section headers with control characters early, just in case

conf-parser: minor refactorings/modernizations

conf-parser: use _cleanup_free_ where appropriate

conf-parse: add generic config_parse_safe_string() helper

This helper is just like config_parse_string() but does some superficial
checks for control characters and quotes.

In most cases we currently use config_parse_string() we probably want to
use config_parse_safe_string() for safety reasons.

Add support for `isolated` parameter

Add the "Isolated" parameter in the *.network file, e.g.,

[Bridge]
Isolated=true|false

When the Isolated parameter is true, traffic coming out of this port
will only be forward to other ports whose Isolated parameter is false.

When Isolated is not specified, the port uses the kernel default
setting (false).

The "Isolated" parameter was introduced in Linux 4.19.
See man bridge(8) for more details.
But even though the kernel and bridge/iproute2 recognize the "Isolated"
parameter, systemd-networkd did not have a way to set it.

ci: validate actions and fix actionlint warnings

some actions like Coverity and CFLite aren't run on every PR so to make
sure they are more or less fine when they are changed it makes sense to
at least check them with superlinter/actionlint: https://github.com/rhysd/actionlint

The following warnings were fixed along the way:
```
.github/workflows/mkosi.yml:55:7: shellcheck reported issue in this script: SC2086:info:6:14: Double quote to prevent globbing and word splitting [shellcheck]
   |
55 |       run: |
   |       ^~~~
.github/workflows/mkosi.yml:55:7: shellcheck reported issue in this script: SC2046:warning:6:40: Quote this to prevent word splitting [shellcheck]
   |
55 |       run: |
   |       ^~~~
.github/workflows/mkosi.yml:55:7: shellcheck reported issue in this script: SC2006:style:6:40: Use $(...) notation instead of legacy backticked `...` [shellcheck]
   |
55 |       run: |
   |       ^~~~
```
```
.github/workflows/coverity.yml:31:9: shellcheck reported issue in this script: SC2086:info:1:93: Double quote to prevent globbing and word splitting [shellcheck]
   |
31 |         run: echo "COVERITY_SCAN_NOTIFICATION_EMAIL=$(git log -1 ${{ github.sha }} --pretty=\"%aE\")" >> $GITHUB_ENV
   |         ^~~~
```

Update footer.html

Merge pull request #22446 from poettering/sd-boot-cpuid-vm-tscd

sd-boot: don't read TSC in VM environments, and other TSC fixes

Merge pull request #22448 from poettering/coredump-raise-sizes

coredump: raise limits

Revert "ci: switch to fedora-35 on i386 on Packit"

This reverts commit 478c632e00ffbf50012b1946a8a025494c012353.

Revert "packit: switch the remaining jobs to F35"

This reverts commit e7642152ae6e867fc569206e905464321a41e58a.

udev/net: support to set MDI-X mode

Closes #22386.

Merge pull request #22423 from poettering/repart-sector-size

repart: fix sector size handling

watchdog: saturate to kernel's max watchdog timeout

Since version 4.5, the max possible timeout is UINT_MAX / 1000 since it
does calculations in milliseconds. A small helper function is added to
make this conversion and saturation and will be used more in the next
commit.

Also document the usage of signed integers by the kernel userspace API.

Merge pull request #22442 from DaanDeMeyer/fix-entry-iteration

journal: Fix entry array iteration in case of corruption

Merge pull request #22366 from poettering/journal-file-punch-fix

journald: some journal file hole punching fixes

sd-boot: don't use TSC in virtualized environments

Replaces: f699bd81e8e18da2d2fc11e7fb7dce95f8bb3f9e

Fixes: #22060

sd-boot: return 0 (not 1) from ticks_read() in fallback implementation

The single consumer of ticks_read() (i.e. time_usec()) checks for == 0
to detect the "not supported/invalid" case, hence actually return the
right value for that.

sd-boot: encapsulate freq cache in ticks_freq()

It's usually nicer to abstract a cache away in the provider of a value,
hence do so.

sd-boot: don't export ticks_read() and ticks_freq()

They only have a single user in time_usec(), hence don't expose them.

sd-boot: add overflow check to TSC reads

On some archs the counter is 32bit, and in case of virtualization it
might actually overflow, who knows.

sd-boot: split out TSC/time API

These are a whole family of functions, let's give them their own .c/.h
file.

No code changes, just splitting things out.

Revert "boot-timestamps: Discard firmware init time when running in a VM"

This reverts commit f699bd81e8e18da2d2fc11e7fb7dce95f8bb3f9e (#22063)

We should suppress the TSC data when we generate it if we assume its
invalid, not when we consume it, because at that point we don't even
know if the data stems from TSC or something else.

docs: Improve HOME_DIRECTORY.md

Merge pull request #22430 from yuwata/resolve-fix-memleak-and-use-after-free

resolve: fix memleak and use-after-free, and several cleanups

man: coredump.conf: document defaults limits

coredump: raise the coredump save size on 64bit systems to 32G (and lower it to 1G on 32bit systems)

Apparently 2G is too low for various real-life systems. But raising it
universally above 2^32 sounds wrong to me, since that makes no sense on
32bit systems, that we still support.

Hence, let's raise the limit to 32G on 64bit systems, and *lower* it to
1G on 32bit systems.

32G is 4 orders of magnitude higher then the old settings. Let's hope
that's enough for now. Should this not be enough we can raise it
further.

Fixes: #22076

README: CONFIG_KCMP is the new kernel compile time option for kcmp()

Fixes: #21947

tests: add repart tests for block devices with 1024, 2048, 4096 byte sector sizes

let's make sure repart works with 4K drives and exotic sector sizes.

repart: fix sector size handling

This queries the sector size from libfdisk instead of assuming 512, and
uses that when converting from bytes to the offset/size values libfdisk
expects.

This is an alternative to Tom Yan's #21823, but prefers using libfdisk's
own ideas of the sector size instead of going directly to the backing
device via ioctls. (libfdisk can after all also operate on regular
files, where the sector size concept doesn't necessarily apply the same
way.)

This also makes the "grain" variable, i.e. how we'll align the
partitions. Previously this was hardcoded to 4K, and that still will be
the minimum grain we use, but should the sector size be larger than that
we'll use the next multiple of the sector size instead.

resolve: reuse timer event source for DnsQuery

If the query get CNAME or DNAME, then the query will be restarted.
Even in that case, previously, the event source was freed and allocated
again. Let's slightly optimize it.

resolve: use _cleanup_ attribute for freeing DnsQuery

resolve: fix possible memleak

Fortunately, unlike the issue fixed in the previous commit, the memleak
should be superficial and not become apparent, as the queries handled
here are managed by the stub stream, and will be freed when the stream
is closed.

Just for safety, and slightly reducing the runtime memory usage by the
stub stream.

resolve: fix potential memleak and use-after-free

When stub stream is closed early, then queries associated to the stream
are freed. Previously, the timer event source for queries may not be
disabled, hence may be triggered with already freed query.
See also dns_stub_stream_complete().

Note that we usually not set NULL or zero when freeing simple objects.
But, here DnsQuery is large and complicated object, and the element may
be referenced in subsequent freeing process in the future. Hence, for
safety, let's set NULL to the pointer.

hwbd: 60-sensor.hwdb: Add Pipo W2Pro

Add accelerometer matrix for Pipo W2Pro tablet. Y-axis was backwards (normal <--> bottom-up).

oom: Cleanup of information dump code after kill

This is a follow up to 29f4185a9cdc ("oomd: Dump top offenders after a
kill action") to clean up the code a bit for review comments that
happened after the code had been merged already.

watchdog: work around Coverity confusion

Coverity (and I, initially) get really confused about "fn"'s validity
here. it doesn't grok that free_and_strdup() is actually a NOP in case
the string isn't changed, and assumes it always invalidates the
specified buffer, which it doesn't do though.

Follow-up for: f4b1a6b6419b771d26342a9b75b1d77ee9d90133

journal: Improve handling of corruption during upwards entry iteration

If we're going upwards in the journal file during entry iteration and we
can't reach the current entry due to corruption, start iterating upwards
from the last reachable entry array. This is equivalent to skipping
all entries in the array that can't be reached anymore.

Fixes #22431

journal: Fix upwards iteration of entry items in case of corruption

8d801e35cb155faa08235a5af8b4d6ad60715837 didn't take into account
upwards iteration of entry items when we're working on a corrupted
journal file. Instead of moving to the previous entry array, we'd
always move to the next array, regardless of the iteration direction.

To fix this, we introduce bump_entry_array() that moves to the next
or previous entry array depending on the given direction. Since the
entry array chains are singly linked lists, we have to start iterating
from the front to find the previous array. We only reach this logic
if we're working on a corrupted journal file so being slow here shouldn't
matter too much.

Merge pull request #22383 from yuwata/network-generator-keep-configuration

network: enable KeepConfiguration= when running on network filesystem

login: typo fix

man: fix typo

Update CODING_STYLE.md

Fixed typo.

tests: also fuzz packets sent in the DHCP6_STATE_SOLICITATION state

With aborts enabled the fuzzer can catch issues like
https://github.com/systemd/systemd/commit/26a63b81322a3bd8b9fbd43f75897c391708de2c
Let's extend it a bit to let it cover issues like
https://github.com/systemd/systemd/pull/22406#discussion_r798932098

sd-dhcp6-client: fix sending prefix delegation request during rebind

Fixes an assertion failure "pd->type == SD_DHCP6_OPTION_IA_PD" in dhcp6_option_append_pd().

Something similar was done in commit 26a63b81322a ('sd-dhcp6-client: Fix
sending prefix delegation request (#17136)'). The justification is
probably the same.

network: enable KeepConfiguration= when running on network filesystem

Also, set KeepConfiguration=dhcp-on-stop by default when running in
initrd.

Fixes #21967.

Merge pull request #22416 from fbuihuu/misc

Misc

Merge pull request #22395 from benzea/benzea/oomd-dump-offenders

oomd: Dump top offenders after a kill action

oomd: Dump top offenders after a kill action

This hopefully makes it more transparent why a specific cgroup was
killed by systemd-oomd.

man: systemd-stdio-bridge doesn't connect "two busses"

In D-Bus, clients connect to a bus (the usual case), or use direct
questions to each other (the unusual case). A bus is a program one can
connect to and implemented by dbus-daemon or dbus-broker. HOwever,
busses never connect between each other, that doesn't exist. Hence don't
claim so.

This is probably confusion about the fact that sd-bus calls D-Bus
connection objects just "sd_bus" for simplicity, given they are used in
99% of the cases to connect to a bus — only in exceptional cases they
are used for direct connections between peers without involving a bus.

Follow-up for b7bb58ef70b0c876941a1c31ed4e2f5f1dc5ed0e

journal-file: explicitly handle file systems that do not support hole punching

Apparently the error code fallocate() returns if hole punching is not
supported is not too well defined (man page just says "an error is
returned"), hence let's accept the usual set of errors, and the
normalize it to EOPNOTSUPP, and generate a clear error message in this
case.

journal-file: fix error handling of pread() in journald_file_punch_holes()

Merge pull request #22378 from bluca/on_fail_follow_ups

Follow-ups for #20833

Merge pull request #22375 from michaelolbrich/watchdog

fix watchdog handling during reboot

systemd.netdev(5): fix acronym for DOVE extensions

shutdown: don't stop the watchdog

This basically reverts #22079.

Stopping the watchdog is wrong. The reboot watchdog is supposed to cover
the whole time from the point when systemd start systemd-reboot until the
hardware resets.
Otherwise the system may hang in the final shutdown phase.

Add a comment, why keeping the watchdog running is correct here.

watchdog: fix watchdog_set_device() when the default watchdog device is used

If watchdog_set_device() is not called before open_watchdog() then
'watchdog_device' remains 'NULL' while the device is open.

As a result, the "same device" check in watchdog_set_device() does not work
correctly: If no device is specified (e.g. from watchdog_free_device())
then the current fd is not closed.

Fix this by setting 'watchdog_device' to the correct device during
open_watchdog()

udev/net_id: show the correct identifier in the debug output of dev_pci_onboard()

core: make use of VALID_CHARS_WITH_AT in unit_name_is_valid()

stat-util: introduce path_is_network_fs()

network-generator: rename DHCP_TYPE_DHCP -> DHCP_TYPE_DHCP4

To emphasize this is DHCPv4. No behavior is changed.

hwdb: add HP calculators

hostnamed: trivial optimization

portable: reopen socket with O_RDONLY

Follow-up for e3f7ed944ae750a40685c52349f3cc850db0876e

Merge pull request #22408 from mrc0mmand/test-network-cleanup

test-network: code cleanup

Merge pull request #22355 from yuwata/network-tunnel-external

network: tunnel: support external mode

boot: Fix some error messages

Merge pull request #22400 from poettering/resolved-single-invalid-list

resolved: maintain only a single list of "dont-resolve" domain names

hostnamed: drop "iteractive" parameter from GetHardwareSerial()

Since a long time the D-Bus spec knows a special bit in its message
header for indicating that "interactive" authentication is OK. The
original hostnamed API is before that was added hence most functions
expose that boolean as explicit argument.

For new added functions let's get rid of it, the message flag is good
enough and replaces it with complete functionality.

No new APIs should carry the "interactive" boolean flag explicitly as
argument anymore.

Follow-up for: 9697662915e47a4797b05003cb1970fe2b01e530

Merge pull request #22394 from bluca/requires_restart_doc

man: explicitly mention that Requires propagates restarts

systemctl: use STR_IN_SET() where appropriate

Follow-up for: 8e98568165ee3db049160045d94ce030dc7fbb79

test-network: disable irrelevant or one-time pylint checks

test-network: use specific exceptions instead of the Exception class

test-network: avoid name clashing/redefinition

test-network: disable 'no-member' warning for the Utilities class

The warning is correct, since we don't inherit the necessary
unittest.TestCase class, but that's on purpose, since the Utilities
class is not supposed to be instantiated on its own, but should
complement other classes' definitions which do inherit from the
unittest.TestCase class.

test-network: use raw strings for regexes with backslashes

It currently works because `\(` and `\)` are not valid escape sequences,
so they're not treated differently. Using raw strings (or double
backslashes) is a more correct solution.

test-network: explicitly set check=False for subprocess.run()

since we're checking the returned error code explicitly via the
`returncode` member.

test-network: convert certain multiline strings to comments

Multiline comments are converted to docstrings only when they're the
first statement in a function/method. Even though they're still a no-op
otherwise, let's use "true" comments to make pylint happy.

test-network: drop unused variables

test-network: drop unnecessary else statements

test-network: drop unnecessary semicolons

test-network: drop superfluous parens

resolved: maintain only a single list of "dont-resolve" domain names

Follow-up for: 46b53e8035fb60c9a7f26dd32d6689ab3b7da97c

man: explicitly mention that Requires propagates restarts

It's implicit, but the actions are different, so let's be explicit to
avoid any confusion.

fix italian translations to display unit name

boot: fix pretty nasty typo

Note to self: should I ever become a black hat hacker, this is how I'd
hide a vulnerability. ;-)

(No, this one is not a vulnerability)

Follow-up for: 163d1ea5dd69c75d889ba4c2d1b51432ed14127f

journal: when copying journal file to undo NOCOW flag, go via fd

We have the journal file open already, hence reference it via the fd
insted of the file name. After all, some other tool might have
renamed/deleted it already.

Let's not actually reuse the fd though, since we want a separate file
offset for the copying, hence just make it simply and reopen via
/proc/self/fd/.

Follow-up for d71ece3f0b85c7a3decc50143b68ac07fc5831ae

tests: pass FUZZING_BUILD_MODE_UNSAFE_FOR_PRODUCTION to fuzzers

to let them use reproducible identifiers, which should make it possible
to really use files copied from OSS-Fuzz to reproduce issues on
GHActions and locally. Prompted by https://github.com/systemd/systemd/pull/22365

sd-boot: rename LOADER_STUB → LOADER_UNIFIED_LINUX

No actual code changes, just renaming.

Rationale: the focus here should be on the fact that these are "unified"
images, whether our stub is used or not, or something else doesn't
really matter. Moreover, these are still Linux entries. Hence, emphasize
that these are *unified* images, and *Linux* images, and deemphesize
that our sd-stub is likely used.

tests: fuzz client_send_message

to make sure outgoing packets based on incoming packets are fine.
It's just another follow-up to
https://github.com/systemd/systemd/pull/10200.
Better late than never :-)

test-network: add testcase for external tunnel

network: tunnel: support external mode

Closes #22352.

network: tunnel: reorder setting ip6tnl attributes

Just for improving readability.

network: tunnel: reduce indentation in config_parse_encap_limit()

network: tunnel: reduce indentation in config_parse_ipv6_flowlabel()

network: tunnel: use "data" field to assign result

udevadm: don't claim a sysattr was write only just because we get EPERM on read

it might be totally inaccessible, hence weaken our language a bit and
just say "not readable", thus making not claim whether it is writable or
not.

Follow-up for 3a90bef55a5a71a03629a762470b0f9014cd8453