core/bpf-firewall: make bpf_firewall_supported() always set unsupported reason when BPF_FIREWALL_UNSUPPORTED is returned

Otherwise, log_unit_full_errno() in emit_bpf_firewall_warning() will
trigger an assertion.

core/cgroup: propagate errors on detecting supported features

core/restrict-netif: make restrict_network_interfaces_supported() return negative errno only when critical error

Other errors are handled as the functionality is not supported.

This also drops unnecessary SYNTHETIC_ERRNO().

test: run commands with debug level logs in TEST-65-ANALYZE

cgroup: don't emit BPF firewall warning when manager is in test mode

Support for BPF might not have been checked, since it's not necessary
in test mode (eg: running offline analysis of units). This causes an
assert:

Assertion '(_error) != 0' failed at src/core/bpf-firewall.c:914, function emit_bpf_firewall_warning(). Aborting.

Export SYSTEMD_LOG_LEVEl=debug in TEST-65-ANALYZE is enough to trigger
this assert while doing an offline analysis of a unit that has some
firewall/network restrictions set.

Skip the warning if the manager is in test mode.

ci: temporarily set -Wno-deprecated-declarations in Packit

to suppress OpenSSL 3.0 deprecation warnings (until a proper solution is
deployed): RSA_free, EC_KEY_free, RSA_set0_key, RSA_size, EVP_PKEY_assign,
EC_KEY_set_group, and others are deprecated.

resolved: do not use BN_dup() unnecessarilly

Suggested in https://github.com/systemd/systemd/pull/21170#discussion_r738696794

port string_hashsum from libgcrypt to openssl^gcrypt

This allows resolved and importd to be built without libgcrypt.

Note that we now say either 'cryptographic library' or 'cryptolib'.

Co-authored-by: Zbigniew Jędrzejewski-Szmek <zbyszek@in.waw.pl>

basic/openssl-util: Add sha256 hash wrapper

resolve: Port nsec3 code to openssl^gcrypt

Co-authored-by: Zbigniew Jędrzejewski-Szmek <zbyszek@in.waw.pl>

test-network: re-arrange DHCP6-PD subnet IDs to test searching free subnet ID

test-network: add testcases for uplink interface detection for RADV with DHCPv6-PD

network: dhcp6-pd: exclude all explicitly specified subnet IDs when searching free IDs

When the upstream link gained a lease, then several downstream links may
not appear yet. Previously, the explicitly specified subnet ID for a
downstream link which appears later may be already assigned to an
interface which does not request specific subnet ID.

To avoid such situation, this makes all specified IDs are excluded when
searching free IDs.

As a side effect, we can avoid the second call of
dhcp6_pd_distribute_prefix().

network: dhcp6-pd: introduce dhcp6_pd_is_uplink()

This also merges dhcp6_pd_resolve_uplink() with dhcp6_pd_find_uplink()

network: dhcp6: make UplinkInterface=:self take effect only when DHCPv6PrefixDelegation= is enabled

network: radv: use the uplink interface used in DHCPv6-PD

docs: document that systemd closes console during normal runtime

fixes #21451

Signed-off-by: Arvid E. Picciani <aep@exys.org>

core: add Condition[Memory/CPU/IO]Pressure

By default checks PSI on /proc/pressure, and causes a unit to be skipped
if the threshold is above the given configuration for the avg300
measurement.
Also allow to pass a custom timespan, and a particular slice unit to
check under.

Fixes #20139

Merge pull request #21581 from keszybz/really-random-fixlets

Really random fixlets

Merge pull request #21564 from yuwata/errno-eagain-eintr

tree-wide: introduce ERRNO_IS_TRANSIENT() and use it

Merge pull request #21536 from medhefgo/test

test: Introduce TEST_RET macro

Merge pull request #21288 from loongarch64/la64/main

Add support for the LoongArch architecture.

Merge pull request #21553 from yuwata/network-wireguard-add-routes-to-allowed-ips

network: wireguard: add routes to AllowedIPs=

analyze: add inspect-elf verb to parse package metadata

Parses and prints package metadata from executables, libraries and core files

$ systemd-analyze inspect-elf /tmp/core ../fsverity-utils/fsverityb /bin/bash --json=off --no-pager
__________________________
           path: /tmp/core
        elfType: coredump
elfArchitecture: AMD x86-64

    module name: /tmp/crash
           type: deb
           name: hello
        version: 1.0
   architecture: amd64
             os: debian
      osVersion: 11
        buildId: b33541096a09c29a0ba4ec5c69364a2711b7c269

    module name: /usr/lib/x86_64-linux-gnu/libc-2.31.so
           type: deb
           name: hello
        version: 1.0
   architecture: amd64
             os: debian
      osVersion: 11
        buildId: 54eef5ce96cf37cb175b0d93186836ca1caf470c

    module name: /usr/lib/x86_64-linux-gnu/ld-2.31.so
           type: deb
           name: hello
        version: 1.0
   architecture: amd64
             os: debian
      osVersion: 11
        buildId: 32438eb3b034da54caf58c7a65446639f7cfe274
__________________________________________________________________
           path: /home/luca/git/systemd/../fsverity-utils/fsverity
        elfType: executable
elfArchitecture: AMD x86-64

           type: deb
           name: fsverity-utils
        version: 1.3-1
   architecture: amd64
             os: debian
   debugInfoUrl: https://debuginfod.debian.net
        buildId: 05b899e6ee0d3653e20458719b202ed3ca8d566f
_________________________
           path: /bin/bash
        elfType: executable
elfArchitecture: AMD x86-64

        buildId: 4fef260f60e257d2dbd4126bf8add83837aea190
$
$ systemd-analyze inspect-elf /tmp/core ../fsverity-utils/fsverity /bin/bash /tmp/core.test-condition.1000.f9b9a84a9fd1482c9702d6afa6f6934b.37640.1637083078000000 --json=pretty --no-pager
{
"elfType" : "coredump",
"elfArchitecture" : "AMD x86-64",
"/home/bluca/git/fsverity-utils/fsverity" : {
"type" : "deb",
"name" : "fsverity-utils",
"version" : "1.3-1",
"buildId" : "7c895ecd2a271f93e96268f479fdc3c64a2ec4ee"
},
"/home/bluca/git/fsverity-utils/libfsverity.so.0" : {
"type" : "deb",
"name" : "fsverity-utils",
"version" : "1.3-1",
"buildId" : "b5e428254abf14237b0ae70ed85fffbb98a78f88"
}
}
{
"elfType" : "executable",
"elfArchitecture" : "AMD x86-64",
"/home/bluca/git/systemd/../fsverity-utils/fsverity" : {
"type" : "deb",
"name" : "fsverity-utils",
"version" : "1.3-1",
"buildId" : "7c895ecd2a271f93e96268f479fdc3c64a2ec4ee"
}
}
{
"elfType" : "executable",
"elfArchitecture" : "AMD x86-64",
"/bin/bash" : {
"buildId" : "3313b4cb119dcce16927a9b6cc61dcd97dfc4d59"
}
}
{
"elfType" : "coredump",
"elfArchitecture" : "AMD x86-64"
}

elf-util: add function to parse metadata out of ELF objects

Parse the packaging metadata from an ELF object, if any, and
print a pretty table following the spec defined at:
https://systemd.io/COREDUMP_PACKAGE_METADATA/

resolve: Port dnskey verification by ds to openssl^gcrypt

Co-authored-by: Zbigniew Jędrzejewski-Szmek <zbyszek@in.waw.pl>

resolve: Port dnssec verify from gcrypt to openssl^gcrypt

Co-authored-by: Zbigniew Jędrzejewski-Szmek <zbyszek@in.waw.pl>

resolved: split out function to hash signature

dnssec_verify_rrset() is just too long.

resolved: split out function to generate signature

dnssec_verify_rrset() is just too long.

resolve: Add coverage for dnssec ecdsa (rfc6605)

import: port importd from libgcrypt to openssl^gcrypt

This is heavily based on Kevin Kuehler's work, but the logic is also
significantly changed: instead of a straighforward port to openssl, both
versions of the code are kept, and at compile time we pick one or the other.

The code is purposefully kept "dumb" — the idea is that the libgcrypt codepaths
are only temporary and will be removed after everybody upgrades to openssl 3.
Thus, a separate abstraction layer is not introduced. Instead, very simple
ifdefs are used to select one or the other. If we added an abstraction layer,
we'd have to remove it again afterwards, and it don't think it makes sense to
do that for a temporary solution.

Co-authored-by: Zbigniew Jędrzejewski-Szmek <zbyszek@in.waw.pl>
# Conflicts:
# meson.build

meson: add config setting to select between openssl and gcrypt

This is not pretty, but it is supposed to be only a temporary measure.

repart: port to our home-grown hmac_sha256

This reduces dependencies. The speed of the code here is uimportant, because we
hash only a tiny amount of input data.

Debian and Ubuntu currently build without repart, see
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=976959
> repart requires openssl and so far I tried to avoid linking against
> both gnutls and openssl.

Co-authored-by: Zbigniew Jędrzejewski-Szmek <zbyszek@in.waw.pl>

tmpfiles: 'st' may have been used uninitialized

man: prettify line number handling in python example

This way the 'line_number' variable contains the actual line number as we think
of it, instead of adjusting it on output.

test-sizeof: show stack and heap randomization

It's useful to reassure yourself those those things actually work ;)

Merge pull request #21580 from bluca/core_fork

Switch coredump ELF parsing to fork+dlopen

test-network: add tests for creating routes to wireguard's AllowedIPs=

network: wireguard: automatically configure routes to addresses specified in AllowedIPs=

Closes #14176.

network: route: expose route_hash_ops

network/wireguard: drop unnecessary .in6 specifier

This should not change any behavior, as the size of the IPv4 address is
smaller than IPv6.

network: route: read RTA_TABLE attribute to get route table

If the table of a route is larger than 255, then the value is stored in
RTA_TABLE attribute. But the attribute is not supported by old kernels.
So, first try to read the value from RTA_TABLE attribute, then fallback
to the value in the message header.

network: route: use typesafe function

oomd: use type suffix instead of casting

The end result is the same.

network: address: drop deprecated temporary address

Fixes #19838.

TODO: update dlopen todo list

elf-util: switch libelf/libdw to dlopen()

In order to avoid inflating the dependency list for the core
library, use dlopen when inspecting elfs, since it's only
used in two non-core executables.

meson: remove libdw dependency from pstore

systemd-pstore does not use any symbol from libdw, and never did,
but the dependency was listed since the beginning

elf-util: add stub for builds without libdw

elf-util: split out helper to parse build-id

coredump: move elf parsing utilities to src/shared/elf-util

coredump: always log on failure in parse_core()

coredump: make the buffer optional when analyzing a core file

Allow later usage when we only want to fetch the JSON packaging metadata

coredump: analyze object with libdwelf in forked process

Parsing objects is risky as data could be malformed or malicious,
so avoid doing that from the main systemd-coredump process and
instead fork another process, and set it to avoid generating
core files itself.

coredump: use _cleanup_ pattern

Note that c.f needs to be closed _before_ taking or freeing
the buf pointer, as it might be invalidated

coredump: flush accumulating buffer after parsing core file

coredump: check return of dwarf_getscopes

Merge pull request #21578 from bluca/json_spec

docs: clarify JSON terms in COREDUMP_PACKAGE_METADATA

gpt: update the gpt test case for LoongArch

architecture: Add support for the LoongArch architecture

sysusers: avoid creating spurious "nobody" group

On distros using Debian's base-passwd, the name of the group with gid 65534 is
nogroup. Currently, systemd-sysusers creates a spurious "nobody" group

  systemd-sysusers[243]: Creating group nobody with gid 996

That's both confusing and redundant, as the nobody user still has primary group
65534 aka nogroup, and the nobody group simply goes completely unused.

So explicitly specify the primary group of the nobody user, and add a line
ensuring that that group exists.

This is not a problem for Debian (or Ubuntu) itself, as they add their own
version of basic.conf in their systemd build logic. But it appears on for
example Yocto/OpenEmbedded.

Merge pull request #21573 from keszybz/one-more-table-sort

One more table sort and man page updates

docs: clarify ELF note usage in COREDUMP_PACKAGE_METADATA

libsystemd: ignore both EINTR and EAGAIN

tree-wide: use ERRNO_IS_TRANSIENT()

errno-util: introduce ERRNO_IS_TRANSIENT()

ask-password: fix error handling

ERRNO_IS_NOT_SUPPORTED() also matches positive values.
Fortunately, lookup_key() does not return positive values.

sd-dhcp6-client: fix error handling

Merge pull request #21559 from jcg190701/main

fix ConditionDirectoryNotEmpty when it comes to a Non-directory file

basic/architecture: sort and reindent one more table

No idea why I didn't do this one in the previous round.

man: fix typo

Follow-up for c896eb7ad65f4dbe968fdf01fa51e9ef4d2d11ed.

man: add missing plural and reorder sentence

We shouldn't explain what a value does before listing valid values…

Follow-up for 4f1ac4a38d1adf08f849af1a61c7a248932d8e13.

docs: clarify JSON terms in COREDUMP_PACKAGE_METADATA

tree-wide: fix typo

Merge pull request #21568 from yuwata/network-fix-json-format

network: fix json format

fix ConditionPathIsReadWrite when path does not exist.

man: fix copy-and-paste mistake

fix ConditionDirectoryNotEmpty when it comes to a Non-directory file

test-network: add more basic tests for network json formats

network: json: add missing initialization

Fixes CID#1466513.

json: make JSON_BUILD_PAIR_IN_ADDR_NON_NULL or friends handle NULL gracefully

Fixes #21567.

systemctl: display how long a systemd service will run (#21494)

Merge pull request #21532 from yuwata/network-json-more

network: add more json entries

Merge pull request #21541 from bluca/analyze_security_profile

analyze: add --profile switch to security verb

sd-boot: Fix assert failure in random-seed.c

Fixes: #21556

unit: add jobs that were skipped because of ratelimit back to run_queue

Assumption in edc027b was that job we first skipped because of active
ratelimit is still in run_queue. Hence we trigger the queue and dispatch
it in the next iteration. Actually we remove jobs from run_queue in
job_run_and_invalidate() before we call unit_start(). Hence if we want
to attempt to run the job again in the future we need to add it back
to run_queue.

Fixes #21458

Byte order to host before using the lifetime

I've seen this in `NetworkManager-1.34.0-0.3.el8.x86_64` (latest in CentOS
Stream 8 at the time of writing this message) which does not use the latest
Systemd but probably the code base is the same (see
https://github.com/NetworkManager/NetworkManager/commit/51f93e00a23fbd09f5ad96da6290bf4ca737d46a).

Before the patch:

```
libsystemd: eth0: DHCPv6 client: T1 expires in 34y 3w 6d 45min 31s
libsystemd: eth0: DHCPv6 client: T2 expires in 54y 5month 3w 3d 23h 20min 35s
```

After the patch:

```
libsystemd: eth0: DHCPv6 client: T1 expires in 3d 7h 58min 3s
libsystemd: eth0: DHCPv6 client: T2 expires in 5d 2h 26min 50s
```

same box (x86_64 system) and same DHCPv6 server.

This regression has likely been introduced by 8a8955507af363c31297bbc5df79852db4ad39d6.

Add missing greater than/less than tab on some HP

Some HP keyboards (like https://h30434.www3.hp.com/t5/image/serverpage/image-id/203235i01AD626584587DA1?v=v2) have <> between AltGr and left arrow. This add the fix and make it working again

sd-boot: Use non-failing allocators everywhere else

sd-boot: Simplify path creation

sd-boot: Make stra_to_path/stra_to_str non-failing

sd-boot: Use non-failing allocators in boot.c

sd-boot: Add non-failing allocators

sd-boot: Always add TextInputEx to wait queue if available

sd-boot: Add LTO support

sd-boot: Let compiler figure out libgcc location

Since we now let the compiler call the linker for us, we can just
rely on it to find the right (static) libgcc to use.

sd-boot: Let the compiler invoke the linker for us

For LTO to work, the linker has to be called with some magic sauce arguments.
And the easiest way to get those is to just let the compiler to the job for us.

Merge pull request #21534 from yuwata/udev-accept-longer-hw-address

udev/net: accept longer HW address

Merge pull request #21531 from keszybz/log2-tables

Optimize log2 tables

Merge pull request #21537 from medhefgo/boot-sbat

meson: Default to sbat-distro=auto