stub: Always use LINUX_INITRD_MEDIA_GUID if available

The kernel PE image version can be used to detect support for this
feature, allowing us to prefer the generic code of the deprecated EFI
handover protocol.

stub: Be explicit about EFI handover calling convention

stub: Remove unnecessary asm cli call

Apparently, this is not needed when red zones are disabled and we do
that.

stub: Properly clean up pages on error

stub: Refuse operation if kernel lacks EFI handover support

stub: Refuse operating above 4G if not supported

We could try to relocate these but that is probably not needed. So far
we have not been bitten by this in the real world and kernels we boot
likely already support this anyway.

stub: Provide a proper boot params page

The boot params passed to the kernel only has to be one page in size
and the size of the setup header has to be calculated as it depends on
the boot protocol version supported by the kernel.

stub: Fix above 4G boot

The kernel x86 boot protocol does not expect this value to be set when
using EFI handover protocol. If the stub is loaded above 4G we would
end up discarding the high bits, breaking boot.

Fixes: #24707

boot: Change the way we provide builtins

Relying on symbol aliasing seems to be rather unreliable. Instead just
use some light #ifdefery.

Fixes: #24630

udev: use block_device_is_whole_disk()

No functional changes, just refactoring.

Note, this also makes synthesize_change() propagate the error from
synthesize_change_one(). However, the caller of synthesize_change()
ignores the failure anyway, hence the change does not take any effect.

sd-device: use fd_reopen() at one more place

It provides recognizable error if /proc is not mounted.

cryptsetup: use TPM flags over bool

This works becuase TPM2_FLAGS_USE_PIN is 1 and bool is a 1 so the bits
line up as expected, however if for some reason flags change values and
for clarity check if the boolean indicates this flag and pass the flag
value.

Signed-off-by: William Roberts <william.c.roberts@intel.com>

meson: make several tests run sequentially

Follow-up for f93ba375301e43900f1fe5a93a2b33b1efcc73e0.

Merge pull request #24744 from yuwata/mkdir-chase-symlinks

mkdir: chase_symlinks_and_stat() does not return 0

Merge pull request #24731 from yuwata/sd-device-opendir

sd-device: introduce device_opendir()

test: add more test cases for mkdir_p_safe() and mkdir_p_root()

mkdir: chase_symlinks_and_stat() does not return 0

This reverts commits e22916e61d1fdb7b46918b605ebf783d9017f9d8 and
1e146d738232acbe7f72903e9c5e4d1166ea67f5.

Merge pull request #24742 from keszybz/hwdb-252

hwdb update for v252-rc1

tpm2-util: make tpm2_pcr_bank_from_string() case-insensitive

This way we can use it directly in measure.c, and thus remove a bit of
redundant code.

OpenSSL prefers uppercasing the MD names, others don't hence let's be
lenient here.

udev: use device_opendir()

sd-device: use device_opendir()

sd-device: introduce device_opendir()

hwdb: run "update-hwdb-autosuspend"

hwdb: run "update-hwdb"

As usual, it seems to be mostly additions and corrections. Sadly, it seems a
bit of mojibake has crept in in various places. But it's hard to correct, in
particular because it's hard to detect all cases automatically. I think we can
ignore this for now.

When I run this a few weeks ago, ma-large.txt was gutted and 20-OUI.hwdb was
siginificantly smaller. For whatever reasons, it's back to normal now.

udev: use sd_device_get_sysattr_value()

No functional changes, just refactoring.

udev: use faccessat()

No functional changes, just refactoring.

sd-device: re-implement device_sysattrs_read_all() without recursion

sd-device: use faccessat()

No functional changes, just refactoring.

sd-device: use fstatat()

No functional changes, just refactoring.

sd-device: use path_hash_ops to store sysattrs

As the stored values are actually path. Just for safety.

This also drops unnecessary duplication of path.

also provide credentials in ExecStartPre

Systemd's credential interface is not yet natively supported by all
programs yet. Hence it's often required to run scripts to massage
secrets in the way the programs expect it.

This commit allows the ExecStartPre commands to access credentials.

Fixes https://github.com/systemd/systemd/issues/19604

test: add testcase for link priority

Merge pull request #24646 from yuwata/udev-node-symlink_atomic

udev: introduce symlink_atomic_full() and use it

Merge pull request #24725 from yuwata/blockdev-util-introduce-block_device_get_whole_disk

blockdev-util: introduce block_device_get_whole_disk()

Merge pull request #24730 from yuwata/dissect-image-drop-reference-to-decrypted-image

dissect-image: introduce dissected_image_relinquish()

man/systemd-run: Refer to man-pages project (man7.org) when citing bash(1)

path-util: add examples for path_make_relative() and path_make_relative_parent()

Addresses https://github.com/systemd/systemd/pull/24646#discussion_r973691797.

tree-wide: drop unused reference to DecryptedImage

tree-wide: use dissected_image_relinquish()

dissect-image: introduce dissected_image_relinquish()

udev: do not ignore -ENOENT from sd_device_get_devname() for block device

We already checked that the sd_device object 'dev' is for a whole block
device. So, -ENOENT should not be triggeered here, and if it is, there
exists something spurious. Hence we should not ignore the failure.

udev: use block_device_get_whole_disk()

This should not change anything effectively.

udev-node: use symlink_atomic_full_label() to create devlink

If the filename of a device symlink is too long, then the temporary
filename may become invalid, and we fail to create symlink.

The function `tempfn_random()` used in symlink_atomic_full() generates
a safe temporary filename.

Note that, thanks to the PR #23043, now only one worker can handle
the same symlink simultaneously. Hence, the device ID based temporary
filename is not necessary.

Merge pull request #24720 from yuwata/dissect-image-take-reference

dissect-image: make DissectedImage object take reference to DecryptedImage and LoopDevice

blockdev-util: change return value when a partition device is passed to partition_enumerator_new()

To make it consistent what returned by block_device_get_whole_disk().

blockdev-util: introduce block_device_get_whole_disk()

blockdev-util: split-out block_device_is_whole_disk()

No functional changes, just preparation for later commits.

Merge pull request #24719 from yuwata/dissect-image-dissected-image-new

dissect-image: introduce dissected_image_new()

sd-device: refuse block device without subsystem

Previously, even if sd_device_get_subsystem() returns -ENOENT for block
device, we accepted that. This makes the check slightly stricter.

Merge pull request #24691 from yuwata/udev-node-check-existence

udev: check existence of device node

Merge pull request #24710 from yuwata/test-50-dissect-cleanups

TEST-50-DISSECT: cleanups

dissect-image: free crypt_device object before trying to activate with unique name

Otherwise we get error from libcryptsetup like the following:
systemd[1234]: Cannot use device /dev/loop5 which is in use (already mapped or mounted).

udev: downgrade log level when device node is already removed

Follow-up for 790da548b0c37af60aed2f46867ba3885ea78718.

dissect-image: introduce DISSECTED_PARTITION_NULL

Currently, it is not necessary to set partno or architecture in
dissect_image_new(), but just for safety.
Preparation for later commits.

dissect-image: split out dissected_image_new()

To make dissect_image() shorter.
No functional changes, just refactoring.

dissect-image: take a reference of LoopDevice into DissectedImage

To make LoopDevice object freed after DissectedImage is freed.
At least currently, this should not change anything. Preparation for
later commits.

loop-util: introduce reference counter for LoopDevice

dissect-image: take reference of DecryptedImage into DissectedImage

No functional changes. Preparation for later commits.

dissect-image: introduce reference counter for DecryptedImage

dissect-image: lazily deactivate decrypted DM volumes

The DM block device may be still used by other processes.

measure: rename measure_pcr() to measure_kernel()

Let's say what we actually measure, not what into (which is obvious
anyway).

This is generally more descriptive, but also good for later work that
allows measuring the boot phase too.

cryptsetup-util: introduce crypt_free_and_replace()

Merge pull request #24622 from yuwata/udev-open-with-noctty

udev: open with O_NOCTTY

Merge pull request #24708 from keszybz/not-available-in-tables

various: use "-" instead of "n/a" in tables

test-50-dissect: do not fail test on cleanup

These paths are read-only mount points. Hence, we cannot remove the
contents.

test-50-dissect: check mount destination instead of mount source

And rebreak long lines.

This should take no effective change, just refactoring.

Merge pull request #24670 from keszybz/early-boot-ordering

Early boot ordering

coredumpctl: rename table entry

"Disk Size" could be mistaken for "Size of the Disk".

various: use "-" instead of "n/a" in tables

In the context of a table, both would be generally understood to have the same
meaning. "n/a" is a strange beast. It was useful when tables were produced on
the typewriter with "---------" used to separate rows. It is visually more
pleasing to use "-", and there is no risk of it being mistaken for a row
separator.

Merge pull request #24703 from yuwata/dissect-image-verity-partition-make-fail

dissect-image: make verity_partition() actually fail when all attempts of activation failed

fd-util: rename CLOSE_AND_REPLACE() -> close_and_replace()

We have free_and_replace() and friends, they are all named with lower
letters, even they are macros, not functions.
For consistency, let's rename CLOSE_AND_REPLACE() with lower letters.

This also mekes the macro used more places.

dissect-image: make verity_partition() actually fail when all attempts of activation failed

dissect-image: split out verity_timeout()

To make verity_partition() shorten. No functional changes, just
refactoring.

man: explicitly document that "reboot -f" is different from "systemctl reboot -f"

Closes #24696.

nspawn: fix two error strings

add CAP_LINUX_IMMUTABLE to systemd-machined, so it can handle machinectl read-only requests

Without this, the 'machinectl read-only ...' command always fails.

sd-netlink: unexport sd-netlink

This effectively reverts 84e1001541151da71bae2137e2a1c254b5a3b89f.

The sd-netlink library has several issues, and we should not export it
without solving them. See issues #24258 and #24124.

Merge pull request #24692 from yuwata/dissect-image-fix-memleak

dissect-image: fix memleak

update TODO

Seeding RNG via SMBIOS is bad idea, since often measurement of SMBIOS
tables is used for TPM policies, under the assumption SMBIOS remains
static after a certain point.

tmpfiles: let's suffix path to dirs with '/' also in log messages

tmpfiles: drop redundant forward declarations

Merge pull request #24664 from yuwata/watchdog

watchdog: open /dev/watchdog0 only if it exists

Merge pull request #24688 from yuwata/watchdog-dbus-properties-follow-ups

pid1: follow-ups for watchdog DBus properties

journalctl: respect --quiet flag during file concistency verification

Fixes #24563.

Merge pull request #24685 from yuwata/uid-range

uid-range: several cleanups

dissect-image: handle all non-negative return values as success

No functional changes, just coding syle update.

dissect-image: fix memleak on failure

udev-node: do not create symlink to a non-existing device node

Previously, the stack directory contains empty regular files named with
device ID, and we create sd_device object from the device name.
Hence, we implicitly checked the existence of the device node.

However, now the files in the stack directory are symlink, and we
retrieve the path to the device node and its priority from the symlink.
Hence, the existence of the device node is not checked.
Let's check if the device node is still exist.

udev-node: split out stack_directory_read_one()

No functional changes, just refactoring.

watchdog: use /dev/watchdog0 only if it exists

Fixes #24661.

update TODO

pid1: drop redundant DBus properties

Follow-up for 10f3f4ed016b9fe92ca3d093fcfaed8278e69220.

We already have RuntimeWatchdogUSec or friends. Let's not introduce
redundant properties.

Also, drop the const qualifier for WatchdogLastPingTimestamp, as they
are actually not constant.

watchdog: explicitly initialize global variable

No functional change, as they were implicitly initialized with zero.

test: add tests for uid_range_coalesce()

uid-range: tie up number and array of uid range entries

This renames UidRange -> UidRangeEntry, and reintroduces UidRange which
contains the array of UidRangeEntry and its size.
No fucntional changes, just refactoring.

uid-range: make uid_range_intersect() take two UidRange objects

No functional changes, just refactoring.

uid-range: optimize to load uid_map file

If uid_map contains many lines, then the previous logic takes O(n^2 log n),
This makes O(n log n).

uid-range: escape from loop earlier

The array of uid range entries are already sorted. Hence, if x and y are
does not have intersection, then the remaining entries neither have
intersection with x.

uid-range: sort uid range entries in uid_range_coalesce()

As the logic in uid_range_coalesce() assumes the array of entries are
already sorted.
No functional changes, just refactoring.

uid-range: use parse_uid_range()