boot: Use memcpy/memset provided by firmware

These are significantly faster and safe us from rolling our own
optimized versions.

boot: Mark memcmp/memcpy/memset aliases as used

The compiler may emit calls to these but also optimize the function away
somehow, breaking at link stage. Marking them as used prevents this.

Merge pull request #23688 from yuwata/boot-efi-string-efi_fnmatch-fix-over-flow

boot/efi-string: check the end of haystack before testing remaining pattern

boot/efi-string: check the end of haystack before testing remaining pattern

Fixes buffer-overflow reported at https://github.com/systemd/systemd/pull/23589#issuecomment-1151820341.

Merge pull request #23589 from medhefgo/efi-clang

boot: Drop use of several gnu-efi functions

fix: sd_id128_get_invocation now works for user services

tree-wide: fix typo

po: Translated using Weblate (Estonian)

Currently translated at 18.5% (35 of 189 strings)

Co-authored-by: H A <contact+fedora@hen.ee>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/master/et/
Translation: systemd/main

test: account for ADDR_NO_RANDOMIZE if it's set

On ppc64le sanitizers disable ASLR (i.e. by setting ADDR_NO_RANDOMIZE),
which opinionated_personality() doesn't return. Let's tweak the current
personality ourselves in such cases.

See: https://github.com/llvm/llvm-project/commit/78f7a6eaa601bfdd6ae70ffd3da2254c21ff77f9

Resolves: #23666

Merge pull request #23348 from medhefgo/log-shutdown-blockers

shutdown: Log processes that block umount

Merge pull request #23658 from keszybz/gcc-warnings-2

Fixes for NULL-pointer arguments based on gcc warnings

bpf: use __always_inline macro in restrict-ifaces.bpf.c

This appears to be more reliable at inlining with some compilers.

meson: Build with frame pointers in developer mode

Profiling tools tend to work better when binaries and libraries
are compiled with frame pointers as without them there's no easy
and fast way to get the current stacktrace.

shutdown: Lazy unmount /oldroot/{dev,proc,sys}

These should not prevent us from cleaning up the remainders of /oldroot
if something in the kernel is blocking these from being unmounted.

shutdown: Log processes that block umount

shutdown: Rename umount_log_level and make it a bool

This was already effectively a bool because only ever two states were
valid. To make the meaning of it more clear, also rename it to last_try.

Merge pull request #23680 from keszybz/boot-loader-counting

Move boot counting into BLS proper

systemctl: simplify code a bit

gcc insists that bus may be used unitialized here, but I don't see any
possibility of that.

shared/bus-util: rename variables to follow newer style

shared/bus-util: simplification

test-udev-util: do not pass NULL to printf, style fixes

test-process-util: do not pass NULL to printf, simplify tests

We don't need to fork to test that the function returns -EINVAL
on null input. So let's simplify things a bit.

test-dns-domain: a few more "NULL in printf %s"s

test-fstab-util: one more "NULL in printf %s"

various: indentation

docs/AUTOMATIC_BOOT_ASSESSMENT: describe how to integrate a DE viability check

I reordered the component list to match chronological order: we first install
an entry, then boot it, then the checks happen, etc. Before it was
ordered by "importance", but that is harder to follow.

docs/BLS: move "boot counting" into the main spec

The boot-counting file-renaming entry-sorting part that the boot
loader implements is moved to the main document. The second document
describes a specific implementation that is provided through systemd
units.

The sorting algorithm is extended to say that bad entries should
be sorted later.

I also added a note that bad entries should be available for booting.

For some reason, the second document said that it applies only to EFI systems.
AFAIK there are no implementations for non-EFI, but the specification should
work just fine, if somebody were to implement it. So that part is dropped.

Fixes #23345.

Sadly, bootctl doesn't implement sorting of boot entries with counting :((((
But I'm leaving that for another PR.

Merge pull request #23654 from keszybz/gcc-warnings

Fixes for NULL-pointer arguments based on gcc warnings

Merge pull request #23678 from aafeijoo-suse/shell-completion-cryptenroll

bash-completion: add systemd-cryptenroll support

boot: Drop use of DuplicateDevicePath

boot: Don't copy device path

BS->LocateDevicePath only advances the passed device path pointer.
It does not actually modify it, so there is no need to make a copy.

boot: Drop use of LibLocateHandle

boot: Drop use of UnpackDevicePath

Device paths are a packed data structure and the UEFI spec is clear that
members may be misaligned.

In this case all accesses are aligned except for the signature. We can
simply memcpy it instead of making a whole (aligned) copy of the device
path.

boot: Drop use of FileDevicePath

boot: Use xmalloc

This drops the unused xnew0 and xallocate_zero_pool as there is only two
users of it. _cleanup_freepool_ will be phased out once the types in the
declarations are changed/renamed.

boot: Add xmalloc

boot: Drop use of DevicePathFromHandle

boot: Drop use of LibLocateProtocol

boot: Drop use of LibOpenRoot

boot: Drop use of LibGetSystemConfigurationTable

boot: Drop use of MetaiMatch

A future commit will add support for unicode collation protocol that
allows case folding and comparing strings with locale awareness. But it
only operates on whole strings, so fnmatch cannot use those without a
heavy cost. Instead we just case fold the patterns instead (the IDs we
try to match are already lower case).

boot: Add efi_fnmatch

Unlike MetaiMatch from the UEFI spec/EDK2 this implementation is
intended to be compatible with POSIX fnmatch.

bash-completion: add systemd-cryptenroll support

bash-completion: fix typos in comments

Resolve conflicts between #23616 and the recent NFT additions

Merge pull request #23616 from keszybz/in-addr-to-string-formatting

Add macros that allocate a fixed buffer for in_addr_to_string(), in_addr_prefix+to_string()

test-load-fragment: don't print NULLs

test-bus-address: silence gcc warning about NULL arg to strcmp()

The code was overly complicated… We know what value we expect, we can test it
directly.

test-mountpoint-util: fix NULL arg to %s

sd-journal: inline variable declarations

sd-journal: use _cleanup_

hwdb: Add HP Dev One

This enables the microphone mute and programmable hotkey for the HP Dev
One.

meson: Add nspawn-locale meson option

https://github.com/systemd/systemd/pull/23192 caused breakage in
Arch Linux's build tooling. Let's give users an opt-out aside from
reverting the patch. It's hardly any maintenance work on our side
and gives users an easy way to revert the locale change if needed.

Of course, by default we still pick C.UTF-8 if the option is not
specified.

Merge pull request #23675 from enr0n/udev-available-cleanup

Use udev_available() where appropriate

nspawn: use udev_available()

libsystemd-network: use udev_available()

cifuzz: build fuzzers on i386 as well

It's a follow-up to https://github.com/systemd/systemd/pull/23550.

po: Added translation using Weblate (Estonian)

Co-authored-by: H A <contact+fedora@hen.ee>

core: firewall integration with DynamicUserNFTSet=

New directive `DynamicUserNFTSet=` provides a method for integrating
configuration of dynamic users into firewall rules with NFT sets.

Example:
```
table inet filter {
        set u {
                typeof meta skuid
        }

        chain service_output {
                meta skuid != @u drop
                accept
        }
}
```

```
/etc/systemd/system/dunft.service
[Service]
DynamicUser=yes
DynamicUserNFTSet=inet:filter:u
ExecStart=/bin/sleep 1000

[Install]
WantedBy=multi-user.target
```

```
$ sudo nft list set inet filter u
table inet filter {
        set u {
                typeof meta skuid
                elements = { 64864 }
        }
}
$ ps -n --format user,group,pid,command -p `pgrep sleep`
    USER    GROUP     PID COMMAND
   64864    64864   55158 /bin/sleep 1000
```

core: firewall integration with ControlGroupNFTSet=

New directive `ControlGroupNFTSet=` provides a method for integrating services
into firewall rules with NFT sets.

Example:

```
table inet filter {
...
        set timesyncd {
                type cgroupsv2
        }

        chain ntp_output {
                socket cgroupv2 != @timesyncd counter drop
                accept
        }
...
}
```

/etc/systemd/system/systemd-timesyncd.service.d/override.conf
```
[Service]
ControlGroupNFTSet=inet:filter:timesyncd
```

```
$ sudo nft list set inet filter timesyncd
table inet filter {
        set timesyncd {
                type cgroupsv2
                elements = { "system.slice/systemd-timesyncd.service" }
        }
}
```

network: firewall integration with NFT sets

New directives `NFTSet=`, `IPv4NFTSet=` and `IPv6NFTSet=` provide a method for
integrating configuration of dynamic networks into firewall rules with NFT
sets.

/etc/systemd/network/eth.network
```
[DHCPv4]
...
NFTSet=netdev:filter:eth_ipv4_address
```

```
table netdev filter {
        set eth_ipv4_address {
                type ipv4_addr
                flags interval
        }
        chain eth_ingress {
                type filter hook ingress device "eth0" priority filter; policy drop;
                ip saddr != @eth_ipv4_address drop
                accept
        }
}
```
```
sudo nft list set netdev filter eth_ipv4_address
table netdev filter {
        set eth_ipv4_address {
                type ipv4_addr
                flags interval
                elements = { 10.0.0.0/24 }
        }
}
```

Merge pull request #23641 from keszybz/janitorials

Janitorial cleanups

basic: Propagate SIGBUS signal info when re-raising signals

raise() won't propagate the siginfo information of the signal that's
re-raised. rt_sigqueueinfo() allows us to provide the original siginfo
struct which makes sure it is propagated to the next signal handler
(or to the coredump).

basic/socket-util: align tables

activate: reduce scope of iterator variables

core: wrap some long comments

shared/condition: reduce scope of variables

bootctl: inline iterator variable

Merge pull request #23645 from DaanDeMeyer/journalctl-static-destructor

journalctl: Use STATIC_DESTRUCTOR_REGISTER()

Merge pull request #23643 from mrc0mmand/asan-tweaks

test: fix (not only) TEST-70 under sanitizers

meson: adjust rootlibdir default for multiarch

On Debian, libdir is commonly something like 'lib/x86_64-linux-gnu'.

The result of get_option('libdir') is normalized to a prefix-relative
path by meson, so we can just append it to rootprefixdir.

Fixes https://github.com/systemd/systemd/issues/23648.

sd-journal: fix NULL arg to %s in error messages and hashmap lookup

The lookup "works", but is not useful. It was introduced in
9c66f528138f4fc856b3e9e137245b7048d5747d.

And printf will NULL args is invalid was introduced in
5d1ce25728856956c1fbfe05b491067f83bd2216 when support for fds was initally
added :(

sd-hwdb: fix NULL arg to %s in error messages

gcc warns about $subject, and it is obviously correct. path may or
may not be set.

basic/unit-file: make sure we don't call streq() on NULL

add_names is called in two places, with fragment_basename=NULL in one of them.
gcc warns that it can be NULL.

Fixes #23646.

meson: install libsystemd-shared into rootpkglibdir

Introduce rootpkglibdir for installing libsystemd-{shared,core}.so.
The benefit over using rootlibexecdir is that this path can be
multiarch aware, i.e. this path can be architecture qualified.

This is something we'd like to make use of in Debian/Ubuntu to make
libsystemd-shared co-installable, e.g. for i386 the path would be
/usr/lib/i386-linux-gnu/systemd/libsystemd-shared-*.so and for amd64
/usr/lib/x86_64-linux-gnu/systemd/libsystemd-shared-*.so.
This will allow for example to install and run systemd-boot/i386 on an
amd64 host. It also simplifies/enables cross-building/bootstrapping.

For more infos about Multi-Arch see https://wiki.debian.org/Multiarch.

See also https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=990547

networkd: NetLabel integration

New directive `NetLabel=` provides a method for integrating dynamic network
configuration into Linux NetLabel subsystem rules, used by Linux security
modules (LSMs) for network access control. The option expects a whitespace
separated list of NetLabel labels. The labels must conform to lexical
restrictions of LSM labels. When an interface is configured with IP addresses,
the addresses and subnetwork masks will be appended to the NetLabel Fallback
Peer Labeling rules. They will be removed when the interface is
deconfigured. Failures to manage the labels will be ignored.

Example:
```
[DHCP]
NetLabel=system_u:object_r:localnet_peer_t:s0
```

With the above rules for interface `eth0`, when the interface is configured with
an IPv4 address of 10.0.0.0/8, `systemd-networkd` performs the equivalent of
`netlabelctl` operation

```
$ sudo netlabelctl unlbl add interface eth0 address:10.0.0.0/8 label:system_u:object_r:localnet_peer_t:s0
```

Result:
```
$ sudo netlabelctl -p unlbl list
...
 interface: eth0
   address: 10.0.0.0/8
    label: "system_u:object_r:localnet_peer_t:s0"
...
```

hwdb: Add accel orientation quirk for the Aya Neo Next

execute: fix resource leak

CID#1431998

journalctl: Use STATIC_DESTRUCTOR_REGISTER()

shared: Rename pcre2-dlopen.h/c to pcre2-util.h/c

We already store the dlopen() stuff for other libraries in util headers
as well so let's do the same for pcre2. We also move the definition of
some trivial cleanup functions from journalctl.c to pcre2-util.h

test: fix TEST-70 under sanitizers

Addresses:
  * https://github.com/systemd/systemd/issues/23578#issuecomment-1144089821
  * https://github.com/systemd/systemd-centos-ci/pull/496#issuecomment-1144640305

test: set $ASAN_RT_PATH along with $LD_PRELOAD to the ASan runtime DSO

Since we unset $LD_PRELOAD in the testsuite-* units (due to another
issue), let's store the path to the ASan DSO in another env variable, so
we can easily access it in the testsuite scripts when needed.

Merge pull request #23621 from evverx/clang-release

ci: build systemd with clang with -Dmode=release --optimization=2

various: use CONST_MAX for array allocation

IIUC, with MAX() we get a VLA and the size is "decided" at runtime,
even though the result is always the same, but with CONST_MAX() we
get a normal stack variable.

CODING_STYLE: say that inet_ntop() is a no no

tree-wide: convert inet_ntop() calls to anonymous-buffer macros

basic/in-addr-util: add IN_ADDR_PREFIX_TO_STRING

basic/in-addr-util: drop check for prefix length in formatting function

The general rule should be to be strict when parsing data, but lenient
when printing it. Or in other words, we should verify data in verification
functions, but not when printing things. It doesn't make sense to refuse
to print a value that we are using internally.

We were tripping ourselves in some of the print functions:
we want to report than an address was configured with too-long prefix, but
the log line would use "n/a" if the prefix was too long. This is not useful.

Most of the time, the removal of the check doesn't make any difference,
because we verified the prefix length on input.

libsystemd-network: minor simplification

resolved: use TAKE_PTR() in one more place

networkctl: assume that we can always print local networking addresses

IN6_ADDR_TO_STRING(…) always returns something, so we can simplify the code a
lot. Also, let's not do step-wise concatenation, but instead handle everything
with one str_extendf() call.

basic/in-addr-util: add IN_ADDR_TO_STRING

Since we don't need the error value, and the buffer is allocated with a fixed
size, the whole logic provided by in_addr_to_string() becomes unnecessary, so
it's enough to wrap inet_ntop() directly.

inet_ntop() can only fail with ENOSPC. But we specify a buffer that is supposed
to be large enough, so this should never fail. A bunch of tests of this are added.
This allows all the wrappers like strna(), strnull(), strempty() to be dropped.

The guard of 'if (DEBUG_LOGGING)' can be dropped from around log_debug(),
because log_debug() implements the check outside of the function call. But
log_link_debug() does not, so it we need it to avoid unnecessary evaluation of
the formatting.

Merge pull request #23626 from sshedi/retval-fixes

Retval fixes

Revert "Support -D_FORTIFY_SOURCE=3 by using __builtin_dynamic_object_size."

This reverts commit 0bd292567a543d124cd303f7dd61169a209cae64.

It isn't guaranteed anywhere that __builtin_dynamic_object_size can
always deduce the size of every object passed to it so systemd
can end up using either malloc_usable_size or
__builtin_dynamic_object_size when pointers are passed around,
which in turn can lead to actual segfaults like the one mentioned in
https://github.com/systemd/systemd/issues/23619.

Apparently __builtin_object_size can return different results for
pointers referring to the same memory as well but somehow it hasn't
caused any issues yet. Looks like this whole
malloc_usable_size/FORTIFY_SOURCE stuff should be revisited.

Closes https://github.com/systemd/systemd/issues/23619 and
https://github.com/systemd/systemd/issues/23150.

Reopens https://github.com/systemd/systemd/issues/22801

manager: ignore return value of unit_watch_pid()

Also, explicitly ignore return value of service_set_main_pid() calls in
few places.

Fixes: CID#1474975

machinectl: ignore return value of get_process_comm()

Fixes: CID#1469720

polkit: explicitly ignore fd_wait_for_event()'s return value

Fixes: CID#1469718

ci: build systemd with clang with -Dmode=release --optimization=2

This is what's most likely used to build systemd with clang in
practice so let's test it as well.

Preparation for reverting https://github.com/systemd/systemd/commit/0bd292567a543d124cd303f7dd61169a209cae64
(which replaced bogus buffer overflow found with _FORTIFY_SOURCE=3
with actual segfaults).

shared/microhttp-util: silence gcc warning

../src/journal-remote/microhttpd-util.c: In function ‘check_permissions’:
../src/journal-remote/microhttpd-util.c:301:5: error: function might be candidate for attribute ‘noreturn’ [-Werror=suggest-attribute=noreturn]
  301 | int check_permissions(struct MHD_Connection *connection, int *code, char **hostname) {
      |     ^~~~~~~~~~~~~~~~~
cc1: all warnings being treated as errors

Fixes #23630.

meson: Switch default-locale default to C.UTF-8

We're already using C.UTF-8 as the default locale for nspawn. Let's
make the same change for the default-locale option instead of deciding
what to use based on the locale used by the host system. Users can
still override the locale using the default-locale option if needed.