dissect-image: make verity_partition() actually fail when all attempts of activation failed

dissect-image: split out verity_timeout()

To make verity_partition() shorten. No functional changes, just
refactoring.

man: explicitly document that "reboot -f" is different from "systemctl reboot -f"

Closes #24696.

nspawn: fix two error strings

add CAP_LINUX_IMMUTABLE to systemd-machined, so it can handle machinectl read-only requests

Without this, the 'machinectl read-only ...' command always fails.

sd-netlink: unexport sd-netlink

This effectively reverts 84e1001541151da71bae2137e2a1c254b5a3b89f.

The sd-netlink library has several issues, and we should not export it
without solving them. See issues #24258 and #24124.

Merge pull request #24692 from yuwata/dissect-image-fix-memleak

dissect-image: fix memleak

update TODO

Seeding RNG via SMBIOS is bad idea, since often measurement of SMBIOS
tables is used for TPM policies, under the assumption SMBIOS remains
static after a certain point.

tmpfiles: let's suffix path to dirs with '/' also in log messages

tmpfiles: drop redundant forward declarations

Merge pull request #24664 from yuwata/watchdog

watchdog: open /dev/watchdog0 only if it exists

Merge pull request #24688 from yuwata/watchdog-dbus-properties-follow-ups

pid1: follow-ups for watchdog DBus properties

journalctl: respect --quiet flag during file concistency verification

Fixes #24563.

Merge pull request #24685 from yuwata/uid-range

uid-range: several cleanups

dissect-image: handle all non-negative return values as success

No functional changes, just coding syle update.

dissect-image: fix memleak on failure

watchdog: use /dev/watchdog0 only if it exists

Fixes #24661.

update TODO

pid1: drop redundant DBus properties

Follow-up for 10f3f4ed016b9fe92ca3d093fcfaed8278e69220.

We already have RuntimeWatchdogUSec or friends. Let's not introduce
redundant properties.

Also, drop the const qualifier for WatchdogLastPingTimestamp, as they
are actually not constant.

watchdog: explicitly initialize global variable

No functional change, as they were implicitly initialized with zero.

test: add tests for uid_range_coalesce()

uid-range: tie up number and array of uid range entries

This renames UidRange -> UidRangeEntry, and reintroduces UidRange which
contains the array of UidRangeEntry and its size.
No fucntional changes, just refactoring.

uid-range: make uid_range_intersect() take two UidRange objects

No functional changes, just refactoring.

uid-range: optimize to load uid_map file

If uid_map contains many lines, then the previous logic takes O(n^2 log n),
This makes O(n log n).

uid-range: escape from loop earlier

The array of uid range entries are already sorted. Hence, if x and y are
does not have intersection, then the remaining entries neither have
intersection with x.

uid-range: sort uid range entries in uid_range_coalesce()

As the logic in uid_range_coalesce() assumes the array of entries are
already sorted.
No functional changes, just refactoring.

uid-range: use parse_uid_range()

userdbctl: fix arrow direction

userdbctl: do not show meaningless boundaries when no uid range available

sd-device-monitor: do not trigger assertion when uid_map is not empty

Follow-up for c0aa23cf1ed4b3cbbcaf8b19d47e6e29dc28c9a0.

Fix Positivo DUO k116 key toggle touchpad

update TODO

xdg-autostart-service: expand tilde in Exec lines

In typical desktop file parsing it is expected that "~" expands to a
home directory.

Users may write an autostart file with "Exec=myCoolService
~/.someSpecialConfig" which worked before the systemd migration.

unit: drop ProtectClock=yes from systemd-udevd.service

This partially reverts cabc1c6d7adae658a2966a4b02a6faabb803e92b.

The setting ProtectClock= implies DeviceAllow=, which is not suitable
for udevd. Although we are slowly removing cgropsv1 support, but
DeviceAllow= with cgroupsv1 is necessarily racy, and reloading PID1
during the early boot process may cause issues like #24668.

Let's disable ProtectClock= for udevd. And, if necessary, let's
explicitly drop CAP_SYS_TIME and CAP_WAKE_ALARM (and possibly others)
by using CapabilityBoundingSet= later.

Fixes #24668.

fix typo in log

test-date: do not fail even on ~50 years later

Fixes #16181.

test-seccomp: support systems that sched_setscheduler() is already limited

Fixes #17078.

meson: add libatomic dependency

Building with GCC 12.2 and binutils 2.39 fails on riscv64 Ubuntu Kinetic
with:

FAILED: systemd-oomd
/usr/bin/ld: systemd-oomd.p/src_oom_oomd-util.c.o:
in function `oomd_cgroup_context_acquire':
build/../src/oom/oomd-util.c:415:
undefined reference to `__atomic_exchange_1'

We have to link with -latomic.

Signed-off-by: Heinrich Schuchardt <heinrich.schuchardt@canonical.com>

bash-completion: add missing options to systemd-cryptenroll

Merge pull request #24671 from mrc0mmand/even-more-codeql

ci: enable a couple more possibly useful CodeQL queries

oom: include a header file instead of a source file

tree-wide: fix typo

ci: fix a couple of typos

ci: enable a couple more possibly useful CodeQL queries

ci: rename codeql-analysis.yml to codeql.yml

Just to be consistent with other repos under the systemd umbrella.

pid1: introduce dbus properties WatchdogDevice and friends

Closes #24665.

Merge pull request #24669 from dtardon/nested-asserts

Use nested ASSERT_PTR

tree-wide: use nested ASSERT_PTR

macro-fundamental: allow to nest ASSERT_PTR

E.g.,

int job_frobnicate(Job *j) {
        Unit *u = ASSERT_PTR(ASSERT_PTR(j)->unit);
        ...
}

Merge pull request #24663 from mrc0mmand/codeql-follow-up

A couple of CodeQL tweaks and follow ups

pstore: do not try to load all known pstore modules

Commit 70e74a5997 ("pstore: Run after modules are loaded") added After=
and Wants= entries for all known kernel modules providing a pstore.

While adding these dependencies on systems where one of the modules is
not present, or not configured, should not have a real affect on the
system, it can produce annoying error messages in the kernel log. E.g.
"mtd device must be supplied (device name is empty)" when the mtdpstore
module is not configured correctly.

Since dependencies cannot be removed with drop-ins, if a distro wants to
remove some of these modules from systemd-pstore.service, they need to
patch units/systemd-pstore.service.in. On the other hand, if they want
to append to the dependencies this can be done by shipping a drop-in.

Since the original intent of the previous commit was to fix [1], which
only requires the efi_pstore module, remove all other kernel module
dependencies from systemd-pstore.service, and let distros ship drop-ins
to add dependencies if needed.

[1] https://github.com/systemd/systemd/issues/18540

Merge pull request #24662 from mrc0mmand/test-exec-deserialization-tweaks

test: drop the use of `tempfile.mktemp()`

ci: limit scope for the CodeQL scan

Don't run the workflow unnecessarily for non-{cpp,python} related changes.

ci: drop LGTM stuff and move remaining bits into a new location

ci: run CodeQL on push to main/stable branches as well

Since we need results for the base branches as well in order to have
something to compare against.

Follow-up to cbe25d0dccdd3f2901a1e74a665c068f42dae9f5.

test: drop the use of `tempfile.mktemp()`

and use `uuid.uuid4()` instead to generate a sufficiently pseudo-random
file name.

Resolves: https://github.com/systemd/systemd/security/code-scanning/142

test: drop forgotten format()

Follow-up to fda00958bb08f2920cf8d42c5212fb45bdb42d6d.

ci: run CodeQL on every PR

Since LGTM is no longer enabled for the systemd repo (as it's going to
be discontinued by the EOY), let's run CodeQL on every PR instead to
replace it.

xdg-autostart-service: Use common boolean parser

Technically the desktop entry specification says value should be the
string "true" or "false". Pragmatically every desktop has their own
parsing rules which are typically less strict on how to interpret other
values.

This caused some regressions downstream when we switched to the
xdg-autostart-generator where existing handmade files contained values
with "True" or "False".

TODO: various things about partitioning

logind: schedule idle check full interval from now if we couldn't figure out atime timestamp

Merge pull request #24272 from dtardon/asserts

Use ASSERT_PTR more

boot: fix missing initialization

Fixes CID#1497847.

Merge pull request #24651 from yuwata/openssl-util

openssl-util: trivial cleanups

creds-util: fix NULL pointer dereference

Fixes CID#1497840.

openssl-util: use assert() if no side effect

openssl-util: drop meaningless assertion

As the type of 'msz' is int.

Fixes CID#1497842.

dbus-execute: inline variable definition

Fixes a compiler warning:

../src/core/dbus-execute.c:460:22: error: unused variable 'c' [-Werror,-Wunused-variable]
        ExecContext *c = ASSERT_PTR(userdata);

tree-wide: check parameter before dereferencing

tree-wide: use ASSERT_PTR more

Merge pull request #23087 from yuwata/udev-watch

udev: resolve race in saving inotify watch handle

Merge pull request #23043 from yuwata/udev-node-use-flock

udev-node: use flock() for symlink stack directory

base-filesystem.c: add trailing zero byte for s390x entry

hwdb: Fix Acer Aspire One AOD270/Packard Bell Dot keymappings

The Acer Aspire One AOD270 and the same hardware rebranded as
Packard Bell Dot SC need a couple of keymap fixups:

1. The switch-video-mode key does not do anything. Standard acer-wmi
   maps scancode 0x61 to KEY_IGNORE since typically these events are
   duplicate with the ACPI video bus. But on these models the ACPI video
   bus does not send events for this key, so map it.

2. The Brightness up / down hotkeys send atkbd scancode 0xce / 0xef
   which by default are mapped to KEY_KPPLUSMINUS and KEY_MACRO.
   These actually are duplicate events with the ACPI video bus,
   so map these to KEY_IGNORE.

update TODO

update TODO

test: add testcase for udev-watch

sd-device: move device_new_from_watch_handle_at() to udev-watch.c

And drop unused watch handle related functions.

udev: warn on udev_watch_{begin,end}() failure

udev: drop unnecessary call of udev_watch_end()

As it is already called by udev_event_execute_rules().

udev: use rm_rf() to remove old watch directory

udev-watch: remove symlink for saving inotify watch handle only when it is owned by the processing device

Before removing symlinks that stores watch handles, this makes udev
worker check if the symlink is owned by the processing device.
Then, we can avoid TOCTOU and drop the try-and-wait loop.

This partially reverts 2d3af41f0e837390b734253f5c4a99a9f33c53e3.

udev: ignore IN_IGNORED inotify event earlier

udev: not necessary to return 1 from on_inotify()

Merge pull request #24637 from mrc0mmand/TEST-75-tweaks

test: make the resolved notifications check a bit more robust

test: make the resolved notifications check a bit more robust

Let's parse the resolved JSON notifications via `jq` and check them in a
bit more "controlled" manner - e.g. until now the `grep` was checking just
a one gigantic JSON string, as all received notifications via the
varlink socket are terminated by a NUL character, not a newline.

Also, as the notification delivery is asynchronous, retry the check
a couple of times if it fails (spotted in C8S jobs):

```
[ 2891.935879] testsuite-75.sh[36]: + : '--- nss-resolve/nss-myhostname tests'
[ 2891.935988] testsuite-75.sh[36]: + run getent -s resolve hosts ns1.unsigned.test
[ 2891.936542] testsuite-75.sh[177]: + getent -s resolve hosts ns1.unsigned.test
[ 2891.937499] testsuite-75.sh[178]: + tee /tmp/tmp.pqjNvbQ2eS
[ 2891.939977] testsuite-75.sh[178]: 10.0.0.1        ns1.unsigned.test
[ 2891.940258] testsuite-75.sh[36]: + grep -qE '^10\.0\.0\.1\s+ns1\.unsigned\.test' /tmp/tmp.pqjNvbQ2eS
[ 2891.942235] testsuite-75.sh[189]: + grep -qF '[10,0,0,1]'
[ 2891.942577] testsuite-75.sh[188]: + grep -aF ns1.unsigned.test /tmp/notifications.txt
[ 2891.943978] systemd[1]: testsuite-75.service: Child 36 belongs to testsuite-75.service.
[ 2891.944112] systemd[1]: testsuite-75.service: Main process exited, code=exited, status=1/FAILURE
[ 2891.944215] systemd[1]: testsuite-75.service: Failed with result 'exit-code'.
```

test: install jq into all images

Merge pull request #24593 from jamacku/main

Update `advanced-issue-labeler` action - `@v1` -> `@v2`

tpm2-util: avoid trial

Let's avoid trial mode for putting together policies if we can, and use
the real policy whenever we can pull it off.

Fixes: #24401

test-29-portable: set timeout for 'portablectl reattach'

Then, the test can fail earlier than the timeout of the whole test
specified by $QEMU_TIMEOUT=.

This is useful when we try to run the test multiple times.

Workaround for issue #24147.

Merge pull request #24618 from yuwata/udev-split-synthesizing

udev: shorten synthesize_change() a bit

blockdev-util: split out blockdev_reread_partition_table()

No functional changes, just refactoring.

Merge pull request #24458 from poettering/stub-embedd-sig

optionally, embed PCR signature and public key in new sd-stub PE sections

udevd: use partition enumerator at one more place

No functional changes, just refactoring.

Merge pull request #24609 from yuwata/sd-device-enumerator-check-sysname

sd-device-enumerator: check sysname earlier

Merge pull request #24611 from yuwata/loop-util-refactoring

loop-util: several cleanups

blockdevi-util: also check sysname when enumerating partitions

sd-device-enumerator: use _cleanup_free_ attribute for safety

No functional changes, just improve readability.

Suggested by https://github.com/systemd/systemd/pull/24601#discussion_r966883459.

sd-device-enumerator: always ignore ENOENT from opendir()

But logs all errors.

sd-device-enumerator: check sysname earlier