fuzzers: ignore size limits when compiled standalone

This way we can still call fuzzers on old samples, but oss-fuzz will not waste
its and our time finding overly large inputs.

fuzzers: add input size limits, always configure limits in two ways

Without the size limits, oss-fuzz creates huge samples that time out. Usually
this is because some of our code has bad algorithmic complexity. For data like
configuration samples we don't need to care about this: non-rogue configs are
rarely more than a few items, and a bit of a slowdown with a few hundred items
is acceptable. This wouldn't be OK for processing of untrusted data though.

We need to set the limit in two ways: through .options and in the code. The
first because it nicely allows libFuzzer to avoid wasting time, and the second
because fuzzers like hongfuzz and afl don't support .options.

While at it, let's fix an off-by-one (65535 is the largest offset for a
power-of-two size, but we're checking the size here).

Co-authored-by: Zbigniew Jędrzejewski-Szmek <zbyszek@in.waw.pl>

fuzz-dhcp-server: remove limit on input size

It was added originally back in 2bd37c5be2f09950f26351506a00929c8719ea15,
but there doesn't seem to by any particular reason for it.

sd-device-enumerator: fix inverted return value of match_initialized()

Fixes a bug introduced by d8b50e5df7e01983279e70c6d970fb60d053df97.

Fixes https://github.com/systemd/systemd/pull/22662#issuecomment-1124163773.
Fixes RHBZ#2083374 (https://bugzilla.redhat.com/show_bug.cgi?id=2083374).

tests: ignore dbus-broker-launcher

There are memory leaks there https://github.com/bus1/dbus-broker/issues/289
and it crashes from time to time
https://github.com/matusmarhefka/dfuzzer/issues/20#issuecomment-1114097840
so let's just skip it by analogy with dbus-daemon to avoid
reports that have nothing to do with systemd itself.

It's kind of a part of https://github.com/systemd/systemd/pull/22547

Merge pull request #23351 from keszybz/logind-message

logind: fix crash in logind on bad message string

man: improve VtableExample

The methods published by the example have a reply in the signature, but
the code was not sending any, so the client gets stuck waiting for a
response that doesn't arrive. Echo back the input string.

Update the object path to follow what would be the canonical format.

Request a service name on the bus, so that the code can be dropped in a
service and it can be dbus-activatable. It also makes it easier to see
on busctl list.

meson: turn on log-message-verification by default in developer builds

I'm not _quite_ convinced that this a good idea… I'm at least keeping
it separate to make it easy to revert ;)

test: ignore LXC filesystem when checking for writable locations

test-execute checks that only /var/lib/private/waldo is writable, but there are
some filesystems that are always writable and excluded. Add /sys/devices/system/cpu
which is created by lxcfs.

Fixes https://github.com/systemd/systemd/issues/23263

Merge pull request #23349 from eliasp/doc-typo

Fix typo in docs/BUILDING_IMAGES.md, format `PID 1` consistently in docs/

Do LOG_MESSAGE_VERIFICATION in coverity runs

This should be enough to get reports if we screw up anywhere, coverity does
analysis of printf format strings.

Optionally call printf on LOG_MESSAGE() arguments

With an intentional mistake:

../src/login/logind-dbus.c: In function ‘bus_manager_log_shutdown’:
../src/login/logind-dbus.c:1542:39: error: format ‘%s’ expects a matching ‘char *’ argument [-Werror=format=]
 1542 |                           LOG_MESSAGE("%s %s", message),
      |                                       ^~~~~~~

core: use LOG_UNIT_MESSAGE() where appropriate

tree-wide: use LOG_MESSAGE() where possible

Also break some long lines for more uniform formatting. No functional change.

I went over all log_struct, log_struct_errno, log_unit_struct,
log_unit_struct_errno calls, and they seem fine.

logind: rename "log_message" to "log_verb"

This field is used to log SHUTDOWN=. Calling it "something-message" is
confusing.

logind: fix crash in logind on user-specified message string

This is trivially exploitable (in the sense of causing a crash from SEGV) e.g.
by 'shutdown now "Message %s %s %n"'. The message is settable through polkit,
but is limited to auth_admin:

<action id="org.freedesktop.login1.set-wall-message">
         <description gettext-domain="systemd">Set a wall message</description>
         <message gettext-domain="systemd">Authentication is required to set a wall message</message>
         <defaults>
                <allow_any>auth_admin_keep</allow_any>
                <allow_inactive>auth_admin_keep</allow_inactive>
                <allow_active>auth_admin_keep</allow_active>
        </defaults>
</action>

Bug introduced in 9ef15026c0e7e6600372056c43442c99ec53746e
('logind/systemctl: introduce SetWallMessage and --message', 2015-09-15).

Update TODO

Use consistent formatting for `PID 1` across `docs/`

Typo (`swich-root` → `switch-root`)

Merge pull request #23331 from kmoriwak/tmpfiles-quickref

man: add missing cleanup-age to tmpfiles.d quickref

man: mention to Age parameter in C Type

meson: sort files

Merge pull request #23335 from keszybz/fuzz-json-more-coverage

More coverage in fuzz-json

fuzz-bootspec: limit input size

https://oss-fuzz.com/testcase-detail/5680508182331392 has the
first timeout with 811kb of input. As in the other cases, the code
is known to be slow with lots of repeated entries and we're fine with
that.

Merge pull request #23336 from keszybz/fuzz-calendarspec-more-coverage

More coverage in fuzz-calendarspec

shared/json: fix memleak in sort

shared/json: fix another memleak in normalization

fuzz-json: also try self-merge operations

This might even work ;)

basic/alloc-util: remove unnecessary parens

Those symbols are not macros anymore, so we can drop parens.

shared/json: add helper to ref first, unref second

This normally wouldn't happen, but if some of those places were called
with lhs and rhs being the same object, we could unref the last ref first,
and then try to take the ref again. It's easier to be safe, and with the
helper we save some lines too.

shared/calendarspec: fix formatting of entries which collapse to a star

We canonicalize repeats that cover the whole range: "0:0:0/1" → "0:0:*".  But
we'd also do "0:0:0/1,0" → "0:0:*,0", which we then refuse to parse.  Thus,
first go throug the whole chain, and print a '*' and nothing else if any of the
components covers the whole range.

Merge pull request #23329 from superm1/mlimonci/lg850-gl

Set auto-suspend delay on LG850-GL

core/timer: fix potential use-after-free

core/timer: fix memleak

Fixes #23326.

shared/calendarspec: fix printing of second ranges which start with 0

0..3 is not the same as 0..infinity, we need to check both ends of the range.
This logic was added in 3215e35c405278491f55fb486d349f132e93f516, and back then
the field was called .value. .stop was added later and apparently wasn't taken
into account here.

test-calendarspec: tighten tests and add more logging

shared/calendarspec: wrap long comments and reduce scope of one var

fuzz-calendarspec: increase coverage by calculating occurences

Coverage data shows that we didn't test calendar_spec_next_usec() and
associated functions at all.

The input samples so far were only used until the first NUL. We take advantage
of that by using the part until the second NUL as the starting timestamp,
retaining backwards compatibility for how the first part is used.

fuzz-calendarspec: add input sample with a list of weekdays and all syntax characters

This should make the fuzzer searches start off a bit better.

shared/calendarspec: make function static void

calendar_spec_from_string() already calls calendar_spec_normalize(), so
there is no point in calling it from the fuzzer. Once that's removed, there's
just one internal caller and it can be made static.

shared/json: fix memory leak on failed normalization

We need to increase the counter immediately after taking the ref,
otherwise we may not unref it properly if we fail before incrementing.

shared/json: wrap long comments

fuzz-json: also do sorting and normalizing and other easy calls

shared/json: reduce scope of variables

fuzz-json: optionally allow logging and output

Similarly to other fuzzers… this makes development easier.

json: align table

add missing cleanup-age to quickref

resolve: reallocate DNS scope when DNSSEC and/or DNS-over-TLS settings are changed

Fixes #23227.

Merge pull request #23300 from DaanDeMeyer/device-debug

core/device: Add more logging

core: annotate Reexecute() as NoReply

So we're able to tell from the introspection data that the method
doesn't reply.

Add HUION Inspiroy H420X to hwdb

Set autosuspend delay for Fibocom LG850-GL

It has been shown that the autosuspend delay for this device enacted
by modem manager will race with suspend and cause system suspend
failures.

This occurred in ChromiumOS on a chromebook, but there is no reason
it won't happen in regular notebooks with the same WWAN.  To avoid
the failure delay autosuspend to a frequency longer than the polling
rate used by modem manager.

Link: https://chromium-review.googlesource.com/c/chromiumos/overlays/board-overlays/+/3635003
Link: https://github.com/freedesktop/ModemManager/blob/43e76bf1bbca8207e37d3fbddfed4bb8578f0170/src/mm-iface-modem.c#L1633

Add support to set autosuspend delay via hwdb

Merge pull request #23321 from poettering/sockaddr-no-cast

tests: avoid sockaddr casts

core/slice: make slice_freezer_action() return 0 if freezing state is unchanged

Fixes #23278.

mkosi: add shadow package to SUSE Tumbleweed

[1958/1958] Generating export-dbus-interfaces with a custom command
/root/mkosi.build: line 70: groupadd: command not found

test: JSON_BUILD_REAL nowadays expects 'double', not 'long double'

Follow-up for 337712e777bff389f53e26d5b378d2ceba7d98a8, aka "the great
un-long-double-ification of 2021".

tests: avoid (struct sockaddr*) casts

We prefer using using union sockaddr_union instead of casting sockaddr
to the correct types.

Coding style, nothing else.

Follow-up for 0dd5ec58faa329410f1f363769209e95b058b7c3.

socket-util: don't reference field by macro parameter name

Let's avoid ambigituies here. (Interesting that the current users
compiled at all, in fact)

update TODO

network: set/unset enumerating flag before/after loop

shared: Fix memory leak in bus_append_execute_property()

Fixes #23317

Merge pull request #23310 from keszybz/suppress-fuzzer-timeouts-and-errors

Suppress fuzzer timeouts and errors

Merge pull request #23311 from keszybz/bootspec-fuzzer

Fuzzer for bootspec.c and associated fixes

shared/calendarspec: reduce scope of variables

shared/dissect-image: apply standard indentation

basic/virt: use STRV_FOREACH instead of iteration with ELEMENTSOF

I think it's a bit simpler, we don't have two indexes.

libsystemd-network: constify casts

It is better to not drop the const-ness from the argument.

tree-wide: drop de-constifying casts for strv iteration

When the the iterator variable is declared automatically, it "inherits" the
const/non-const status from the argument. We don't need to cast a const
table to non-const. If we had a programming error and tried to modify the
string, the compiler could now catch this.

fuzz-journal-remote: allow -ENODATA too

It seems that we try to create a new file, which fails with -ENOSPC, and we
later fail when reading a file with ENODATA.  journal_file_open() will return
-ENODATA if the file is too short or if journal_file_verify_header() fails.
We'll unlink a file we newly created if we fail to initialize it immediately
after creation. I'm not sure if the file we fail to open is the one we newly
created and e.g. failed to create the arena and such, or if it's the file we
were trying to rotate away from. Either way, I think we should be OK with
with a non-fully-initialized journal file.

Failed to create rotated journal: No space left on device
Failed to write entry of 2 bytes: No space left on device
sd_journal_open_files(["/tmp/fuzz-journal-remote.vELRpI.journal"]) failed: No data available
Assertion 'IN_SET(r, -ENOMEM, -EMFILE, -ENFILE)' failed at src/journal-remote/fuzz-journal-remote.c:70, function int LLVMFuzzerTestOneInput(const uint8_t *, size_t)(). Aborting.

oss-fuzz-39238: https://oss-fuzz.com/issue/4609851129462784

fuzz-systemctl-parse-argv: refuse commandlines above 1k entries

oss-fuzz reports timeouts which are created by appending to a very long strv.
The code is indeed not very efficient, but it's designed for normal
command-line use, where we don't expect more than a dozen of entries. The fact
that it is slow with ~100k entries is not particularly interesting.

In the future we could rework the code to have better algorithmic complexity.
But let's at least stop oss-fuzz from wasting more time on such examples.

(My first approach was to set max_len in .options, but apparently this doesn't
work for hongfuzz and and AFL.)

oss-fuzz-34527: https://oss-fuzz.com/issue/5722283944574976

core/unit: fix use-after-free

Fixes #23312.

shared/bootspec: add missing terminator to table

fuzz-bootspec: also add loader autoentries

fuzz-bootspec: one more test case that was fixed in strv code

shared/bootspec: avoid crashing on config without a value

Add fuzzer for the bootspec parser

shared/bootspec: also export boot_config_load_type1()

The reallocation of memory and counter incrementation is moved from
the only caller to the function. This way the callers can remain oblivious
of the BootConfig internals.

shared/bootspec: expose more parts of the config parsing

Move printing of boot entries from bootctl.c to shared/

I want to use this for fuzzing, but also later to return jsonified
list of entries from logind.

shared/bootspec: add one more assert

All callers assume that boot_entry_title() always returns something.
It will, as long as it's not called on an uninitialized entry.

meson: sort list of fuzzers

docs/ARCHITECTURE: describe fuzzer locations and use

dissect: drop unnecessary {}

bash-completion: resolvectl: add missing options and verb

core/device: Add logging to device_is_ready()

core/device: Improve device_dispatch_io() logging messages

core/device: Log when we can't retrieve SYSTEMD_ALIAS property

core/device: Log when we skip device unit creation for symlink

core/device: Log if we fail to open a device

We also shorten the logic by getting rid of the validate_node()
function. An extra check is added to verify we're dealing with
a device before calling sd_device_new_from_devname() since that
will return -EINVAL if anything other than a device is passed.

core/device: Log on every event received from udev

We already debug log on device unit state changes but additionally,
let's debug log for every event received from udev as well.

hwdb: add rammus accelerometer support

core/device: Add sysfs argument to device_process_new()

Instead of retrieving the new sysfs path in device_process_new(),
let's pass the syspath we retrieved earlier to device_process_new()
similar to how we do for other functions in core/device.c.

core/device: Use DEVICE_NOT_FOUND instead of 0.

Use the enum name instead of the value zero. This is a noop change
as DEVICE_NOT_FOUND == 0.

boot: Fix null pointer dereference

man: fix typo

Merge pull request #23292 from alexhenrie/dhcpv6

network: clarify relationship between RA flags and DHCPv6 modes

shared/json: disentangle flag mixup

_DEBUG and _RELAX had the same value… I'm not sure what the effect
of this is.

network: clarify the relationship between DHCP= and WithoutRA=

Just setting DHCP=ipv6 is not enough to get DHCPv6 working without RA.
The WithoutRA option must also be changed from its default of "no".

network: clarify the relationship between RA flags and DHCPv6 modes

In the documentation, using the term "managed" for both the RA flag and
the DHCPv6 mode is confusing because the mode is referred to as
"solicit" both in the official DHCPv6 documentation (see RFC 8415) and
in the WithoutRA option.

Furthermore, calling the other RA flag "other information" or "other
address configuration" is confusing because its official name is simply
"other configuration" (see RFC 4861 and RFC 5175) and it isn't used to
assign IP addresses.

Rewrite the documentation for DHCPv6Client and WithoutRA to make it
clear that getting the "managed" RA flag triggers the same kind of DHCP
request as WithoutRA=solicit, whereas getting the "other configuration"
RA flag triggers the same kind of DHCP request as
WithoutRA=information-request.