sd-dhcp-lease: use the last hostname option when multiple hostname is specified

sd-dhcp-lease: drop ret_ prefixes from the parsers

network: unify log messages

sd-event: several follow-ups for recent change (#39743)

test: add missing assertion

Follow-up for 5a5cb6ba50594355734ff58487d2272a86b741b1.
Fixes CID#1643217.

sd-event: do not ignore result of callbacks

Follow-up for 4c8b6d636c92e84f4b40db5656db58f71f397a1d and
6aff6d3ffc8a481bb663ac4dd0cf479845a6e24f.
Fixes CID#1643218 and friends.

nspawn: Prevent invalid UIDs propagating in bind mounts (#39729)

Commit 88fce090263ba8944cf491346eae2e8022dfd88d modified the
mount_bind() function, causing it to perform arithmetic on the uid_shift
parameter. However, it performs this arithmetic even when uid_shift was
UID_INVALID, which was not intended. This typically occurred when
mount_custom() was called for a simple bind mount without user
namespaces (and thus no rootidmap mount option).

This arithmetic (e.g., uid_shift + m->destination_uid) then wraps
around, resulting in the invalid ID 4294967295 ((uid_t)-1).

This bug manifests for users running systemd-nspawn with
--link-journal=host and --volatile=yes (but without --private-users),
causing systemd-tmpfiles to fail.

Make mount_bind() robust by checking if uid_shift is valid before using
it in arithmetic. If it is UID_INVALID, it defaults to a shift of 0 for
the ownership calculation, restoring correct behavior for plain bind
mounts while preserving the intended logic for ID-mapped mounts.

Fixes: #39714

test: Add nspawn regression test for --link-journal --volatile

resolved: add ability for external programs to hook into name resolution (for machined+networkd to synthesize records) (#39293)

Fixes: #8518

test: add workaround for networkd downgrade issue

update TODO

units: let's set a socket name for networkd rtnl socket

Let's make our networkd sockets recognizable purely by name. It hink
already for debugging it's a good idea to always set socket names, in
particular for services that have multiple sockets they listen on.

This adds a name to the rtnl socket, which so far missed one. Note that
the C code won't look for it, for compat with older versions, but at
least things are a bit more debuggable.

network: make use of LocalLeaseDomain= by default

Let's expose local VMs/containers under ._dhcp by default. Let's also
expose WIFI AP clients under .home.arpa (i.e. the RFC8375 domain for
home networks).

networkd: rename manager_connect_varlink() → manager_varlink_init()

This function doesn't "connect" to Varlink (i.e. it isn't a client) but
it binds a Varlink socket (i.e. it is server), hence let's remove the
verb "connect" from its name. let's copy how machined/resolved name the
counterpart for this function: manager_varlink_init()

networkd: add support for resolved hook for DHCP server

Let's synthesize DNS RRs for leases handed out by our DHCP server. This
way local VMs can have resolvable hostnames locally.

This does not implement reverse look ups for now. We can add this
later in similar fashion.

test: always create networkd mock tmpfs for networkd-test.py

Match the behaviour of the other test classes that use sd-run and
always create the mock tmpfs runtime dirs.
This will be needed as the new resolve.hook directory won't exist
on boot but will be needed by the test case.

sd-dhcp-server: add api to get address from hostname, based on lease data

machined: implement resolve hook in machined

This basically implements nss-myhostname, but natively in
systemd-resolved, so that the logic becomes available also for clients
using the local DNS stub for resolution or the D-Bus or Varlink APIs.

machine: minor refactoring, making machine_send_signal() invocations more readable

resolved: add hook api

This introduces /run/systemd/resolve.hook/ as a new directory that local
(privileged) programs can bind a Varlink socket into. If they do they'll
get a method call for each attempted resolved lookup, which they can
then either process themselves (and generate new records for, or return
errors to block stuff) or let pass so that the regular resolution is
done.

Usecase for this is primarily two things:

1. in machined we can add local resolution of machine names to their IP
   addresses, similar in fashion to nss-mymachines, but working also if
   the non-NSS interfaces to name resolution are used, i.e. the local
   DNS responder. In fact, I think we should eventually remove
   nss-mymachines from our tree, as soon as this code in resolved is
   setlled.

2. in networkd we can add local resolution of names specified in DHCP
   leases we hand out.

But beyond that there should be many other uses, for example people
could write "dns firewalls" with this if they like where they
dynamically block certain names from resolution.

Fixes: #8518

Make new sd-path configuration search functionality generic (#39684)

Reverts systemd/systemd#38680

After taking a closer look I'm not convinced by the approach, see below.

First of all, all other SD_PATH_SEARCH_* are either somewhat generic,
i.e. encode the common prefix for configurations, binaries, etc., or are
subdirectories under systemd/ hence in our own "domain". The
tmpfiles/sysctl/binfmt we don't prefix with "systemd" precisely because
the concept is generic and there're actually other impls of them. A
specific SD_PATH_SEARCH_SYSCTL doesn't fit into our existing scheme.
Instead something along the lines of "SEARCH_SYSTEM_CONFIGURATION" shall
be introduced, and consumers will just suffix
sysctl.d/tmpfiles.d/binfmt.d for the final result.

And secondly, I don't grok why systemd-sysctl now unnecessarily calls
into sd-path to obtain the fixed search path. None of our other tools do
that.

-----------

An alternate approach, SD_PATH_SYSTEM_SEARCH_CONFIGURATION, which does
exactly above, will be introduced instead. It provides a universal
interface for querying any system config with our idiomatic
/etc/:/run/:/usr/local/lib/:/usr/lib/ hierarchy.

path-util: add generic `ignore` extension to the hidden files (#39554)

varlink: say which socket failed to bind in log message

Makes it a lot easier to debug failures

fd-util: do not block O_TMPFILE with -EISDIR (#39736)

5 TPM tweaks (#39712)

Fixes: #38939
Fixes: #39150

update TODO

Try to make TEST-75-RESOLVED less flaky (#39733)

These tests unfortunately rely on polling in several areas. In some
cases, it appears the timeouts are too short (e.g. #39602, or
https://github.com/systemd/systemd/actions/runs/19369869943/job/55422626427?pr=39731#logs).

Try to adjust the timeouts to see if this makes things more reliable.

man: add pcrproduct to man page header, too

units: systemd-pcrproduct.service measures into an NvPCR, fix that in Description=

Follow-up for: 0196abbd10331f89bd5ca7abc39225852dff7406

man: document that ConditionSecurity=tpm2 means full UEFI/PC Client profile support

TPM2 support is not too useful if the firmware doesn't actually use it
for the boot chain, hence we require the full PC client profile support.
Let's make that clear in the docs.

Fixes: #38939

boot: report missing GetActivePcrBanks() call in formware as UINT32_MAX PCR bank mask

Fixes: #39150

tpm2-util: use LoaderTpm2ActivePcrBanks efi var when figuring out best+good banks to use

We nowadays have clear reporting which PCR banks the firmware is using
via LoaderTpm2ActivePcrBanks, hence rely on that.

units: measure a separator event into PCR 9 after completing NvPCR initialization

We do this in a separate service (rather than inside of
systemd-tpm2-setup), since we want failures of this measurement to
result in an instant reboot, like for most our measurements.

Failures to initialize nvpcrs, or allocate an SRK are somewhat OK (and
more likely), as long as this separator communicates clearly where they
have to have taken place, if they worked.

pcrextend: allow setting the event type for the event log on the command line

This makes the tool more powerful as we can invoke it for any type of
measurement correctly

tpm2-setup: measure information about NvPCR initialization to PCR 9

This locks down NvPCR initilization a bit more: we'll measure each
initialization of an NvPCR into PCR 9, thus chaining the NvPCRs to the
PCR set. After all NvPCRs are initialized we measure a barrier into PCR
9 as well.

This ensures that later additions of NvPCRs are clearly recognizable and
distuingishable from those done at boot.

tpm2-util: add missing entry in string table

Follow-up for: e5a2e7866572614e66cbf6c1d3969128562d9552

fd-util: do not block O_TMPFILE with -EISDIR

Follow-up for 7cf4f075670a81babf1501f063f6841cc4e866dd

fs-util: simplify open_parent_at() a bit

Let's refrain from specifying any access mode when opening
a directory, which matches our usual style and allows us
to drop one condition.

musl: stdio: check if stream is writable earlier in fputs() and friends

test: adjust timeouts for testcase_15_wait_online_dns

Do not set a timeout on the wait-online call, since there are timeout
calls later that will prevent the test from blocking forever. Increase
those timeout calls for slower CI runs.

test: increase timeout waiting for zone DS records setup

This test is flaky on the infrastructure due to this setup step timing
out. As a naive step, just increase the timeout to 60s.

Part 1 of #39602

musl: introduce two wrappers (#39700)

core: add varlink Reload/Reexecute methods (#39561)

Same as the D-Bus ones

test: wait for interface to come online before checking DNS scopes

The current test is flaky because it creates a new interface definition,
calls networkctl reload, and then calls resolvectl show-cache. If
resolved has not received the changes and setup the DNS scopes for the
interface, show-cache will be empty for that interface.

Part 2 of #39602

tree-wide: use SD_JSON_BUILD_PAIR_* macros if possible (#39732)

musl: make strtoll() accept strings start with dot

glibc accepts strings start with '.' and returns 0, but musl refuses
them. Let's accept them, as our code assumes the function accept such
strings.

musl: test-bus-error: drop ._need_free flag checks

Its value depends on how strerror_r() implemented, and the
implementations of the function in glibc and musl are actually
different. Let's drop the checks.

musl: introduce GNU specific version of strerror_r()

musl provides XSI compliant strerror_r(), and it is slightly different
from the one by glibc.
Let's introduce a tiny wrapper to convert XSI strerror_r() to GNU one.

The wrapper also patches musl's spurious catchall error message.

docs: initial version of varlink guideline

elf-util: prefer using SD_JSON_BUILD_PAIR_* macros

No functional change, just refactoring.

ssh-generator: prefer using SD_JSON_BUILD_PAIR_STRING

No functional change, just refactoring.

userdb: prefer using SD_JSON_BUILD_PAIR_* over SD_JSON_BUILD_PAIR(

No functional change, just refactoring.

sd-json: prefer using SD_JSON_BUILD_PAIR_UNSIGNED

No functional change, just refactoring.

sd-event: Move SOURCE_POST check into mark_post_sources_pending()

Rename to maybe_mark_post_sources_pending() as well to match the new
behavior.

Follow up for 4c8b6d636c92e84f4b40db5656db58f71f397a1d

sd-event: Add comment in event_source_offline() for memory pressure

Follow up for d0ddb0aafb2c678382aad04ff6eafaac86749857

Three new sd-event features + various fixes (#39608)

log-context: Don't add log context if value is NULL

This avoids if conditions at the callsite which mess up stack based
lifetimes.

basic-forward: Add WaitFlags forward decl

sd-event: Make sure iterations of defer and exit sources are updated

Defer and exit event sources are marked pending once when they are added
and never again afterwards. This means their pending_iteration is never
incremented after they are initially added, which breaks fairness among
event sources with equal priority which depend on the pending_iteration
variable getting updated in source_set_pending(). To fix this, let's assign
iterations for defer and exit sources in source_dispatch() instead so that
those get their pending_iteration updated as well.

sd-event: Add exit-on-idle support

Sometimes it's hard to assign responsibility to a specific event source
for exiting when there's no more work to be done. So let's add exit-on-idle
support where we exit when there are no more event sources.

nspawn: Prevent invalid UIDs propagating in bind mounts

Commit 88fce09 modified the mount_bind() function, causing it to perform
arithmetic on the uid_shift parameter. However, it performs this
arithmetic even when uid_shift was UID_INVALID, which was not intended.
This typically occurred when mount_custom() was called for a simple bind
mount without user namespaces (and thus no rootidmap mount option).

This arithmetic (e.g., uid_shift + m->destination_uid) then wraps
around, resulting in the invalid ID 4294967295 ((uid_t)-1).

This bug manifests for users running systemd-nspawn with
--link-journal=host and --volatile=yes (but without --private-users),
causing systemd-tmpfiles to fail.

Make mount_bind() robust by checking if uid_shift is valid before using
it in arithmetic. If it is UID_INVALID, it defaults to a shift of 0 for
the ownership calculation, restoring correct behavior for plain bind
mounts while preserving the intended logic for ID-mapped mounts.

Fixes: #39714

run0: Make --same-root-dir available for run0

This enables running something like
"mkosi box -- run0 --empower --same-root-dir -E PATH" to get an
empowered session as the current user within the "mkosi box" environment.

sd-event: Allow passing WNOWAIT to sd_event_add_child()

This allows doing the reaping outside of the callback, we'll use this
when adding fibers in a later commit.

sd-event: Drop faulty shortcut

We can't take this shortcut, as we might have to drop the
EPOLLONESHOT flag for some event sources, so drop the shortcut.

sd-event: Only register memory presure if write buffer size is zero

As documented in sd_event_add_memory_pressure(), we can only add
the memory pressure fd to epoll once we've written the watch string,
so make sure we don't register the memory pressure in
event_source_online() until we've written the watch string.

sd-event: Mark post sources as pending after dispatching

More post event sources might get added during dispatching, we want
to make sure those become pending as well if we're dispatching a non-post
event source.

test-cgroup-util: Skip test on ESTALE

The kernel converts a bunch of errors to ESTALE in the open_by_handle_at()
codepath so we treat it as missing privs but it could be absolutely
anything really.

test-rm-rf: Check capabilities

The assertion will succeed if we have the right capability, causing the
test to fail.

test-id128: Check capability instead of uid

integritysetup: Add support for hmac-sha512 and wrapped key HMAC algorithms phmac-sha256 and phmac-sha512 (#39719)

Currently the only supported integrity algorithm using HMAC is
`hmac-sha256`. Add `hmac-sha512` to the list of supported algorithms as
well.

Also add the `PHMAC` integrity algorithm to the list of supported
algorithms. The `PHMAC` algorithm is like the regular HMAC algorithm,
but it takes a wrapped key as input. A key for the `PHMAC` algorithm is
an opaque key blob, who's physical size has nothing to do with the
cryptographic size. Such a wrapped key can for example be a HSM
protected key. Currently PHMAC is only available for the s390x
architecture (Linux on IBM Z).

Support for PHMAC has just been added to the cryptsetup project via MR
https://gitlab.com/cryptsetup/cryptsetup/-/merge_requests/693 by commit

https://gitlab.com/cryptsetup/cryptsetup/-/commit/296eb39c60bd85228930caaea4bb1d2a766b7544

To allow automatic opening of integrity protected volumes that use PHMAC
via `/etc/integritytab`, this change in systemd's integritysetup tool is
needed as well.

sd-dhcp-server: Add Hostname= option to static leases

This adds a new `Hostname=` option to the [DHCPServerStaticLease]
section in .network files, allowing an administrator to assign a
specific hostname to a client receiving a static lease.

We automatically select the correct DHCP option to use based on the
format of the provided string:

- Single DNS labels are sent as Option 12.
- Names with multiple DNS labels are sent as Option 81 in wire format.

Fixes: #39634

musl: add several missing symbols (#39701)

Three follow-ups for recent changes (#39724)

stdio-bridge: remove unreachable return

run: refuse --root-directory= in --scope mode

As discussed in #39669, let's reject this for now.

efivars: insert a newline below fstat() call

musl: add several missing statx macros

glibc's sys/stat.h includes linux/stat.h, and we have copy of it from
the latest kernel, hence all new flags are always defined.
However, musl's sys/stat.h does not include linux/stat.h, and moreover,
they conflict with each other, hence we cannot include both header
simultaneously. Let's define missing macros to support musl.

musl: add missing FTW_CONTINUE macro

This is to avoid build failures like below for musl.

  test-recurse-dir.c:23:24: error: ‘FTW_CONTINUE’ undeclared

Co-authored-by: Yu Watanabe <watanabe.yu+github@gmail.com>

musl: replace netinet/if_ether.h with our own implementation

musl's netinet/if_ether.h conflicts with linux/if_ether.h.
The reimplementation is mostly equivalent with what glibc does.

musl: provide several missing definitions for prctl()

musl: introduce dummy function for gnu_get_libc_version()

As the header gnu/libc-version.h and gnu_get_libc_version() function
are glibc specific, and musl does not provide them.

musl: introduce dummy functions for mallinfo(), malloc_info(), and malloc_trim()

These functions are not provided by musl.

musl: introduce dummy gshadow header file for userdb

Even 'gshadow' meson option is disabled, src/shared/userdb.c and
src/shared/user-record-nss.c include gshadow.h unconditionally.
Let's introduce dummy header to make them compiled gracefully.

hwdb: add entry for Acer Switch One 10 (SW1-011) (#39716)

Add the correct rotation for Acer Switch One 10 (SW1-011)

gpt-auto-generator: fix typo in crypttab option name

Spotted while debugging a ParticleOS build:

```
Nov 13 14:44:32 localhost systemd-cryptsetup[591]: Encountered unknown /etc/crypttab option 'tpm2-measure-slot-nvpcr=cryptsetup', ignoring.
```

Follow-up for e5a2e7866572614e66cbf6c1d3969128562d9552

musl: test: several random fixlets for unit tests

core: record transactions that have seen ordering cycles and expose them via IPC (#39210)

Closes #3829.

Make systemd stdio bridge quiet (#39718)

efivarfs readv() size fixes and more (#39715)

Fixes: #39695

tree-wide: assorted fixes/workarounds for supporting musl (#39687)

integritysetup: Add PHMAC algorithm to list of known algorithms

Add the PHMAC integrity algorithm to the list of supported algorithms.

The PHMAC algorithm is like the regular HMAC algorithm, but it takes a wrapped key
as input. A key for the PHMAC algorithm is an opaque key blob, who's physical size
has nothing to do with the cryptographic size. Currently PHMAC is only available
for the s390x architecture.

sd-bus: Pass --user and --quiet to systemd-stdio-bridge if local

If we're switching users but not entering a container, then we can
assume that new switches for systemd-stdio-bridge are available, so
make use of them in that case.

stdio-bridge: Fix --user

If --user was specified we would still try to use the system bus
address.

stdio-bridge: Add --quiet option

When we use stdio-bridge via sd-bus to connect to a bus of a different
user, container or host, stdio-bridge should not log at error level but
at debug level as it's invoked by the sd-bus library and sd-bus should
generally not log above debug level.

We can't actually use the --quiet option yet as that would break connecting
to hosts running older versions of systemd but let's already add the option
now in preparation for a brighter future.

bus-wait-for-jobs: Make sure we always debug log

If we're not logging at a higher priority level, let's still log
at debug log level to help with debugging.

shared: Forward declare InstallChange in shared-forward.h

tree-wide: fix lseek() parameter order

The offset must be specified first, 'whence' second. Fix that.

Except for one case this fix doesn't actually fix any real bug, since
SEEK_SET is defined as 0 anyway, hence the swapped arguments have no
effect.

The one exception is the MTD smartmedia code, which I guess indicates
that noone has been using that hw anymore in a long time?

efivars: seek back to beginning in each efi_get_variable() loop

We try to read again from the beginning, hence let's seek back.
Apparently efivarfs doesn't strictly require this, but it's really weird
that it doesn't.

efivars: validate we are actually talking about a regular file

We already have the stat data, let's actually check if things are
alright before relying on .st_size

efivars: fix size checks in efi_get_variable()

writev() returns the full size, not just the payload size, hence always
add sizeof(attr) where necessary.

Let's also change a couple of "4" into sizeof(attr) all over the place,
to make clear what they are about.

Fixes: #39695
Follow-up for: 9db9d6806e398465a6366dfc5bdde2e24338ac29