bus: change creds dumping order to be more close to internal storage order

util: skip incomplete ucred information in getpeersec()

sd-bus: don't blindly take incomplete ucred bits from AF_UNIX when constructing message

update TODO

hwdb: fix a typo

tmpfiles.d: Fix directory name

The .service uses "/var/lib/container", not "containers".

localed: verify xkb keymaps after pk-queries

Make sure not to run xkb-keymap validation twice if pk-queries are used.
Move it below pk-checks.

terminal/idev: forward xkb-messages

Properly forward all XKB messages. You can use XKB_LOG_VERBOSITY= to
control the amount of messages sent by XKB. We explicitly set
XKB_LOG_LEVEL to 7 you can use SYSTEMD_LOG_LEVEL to control the log-level
generically.

terminal/idev: avoid magic numbers

Use XKB_CONTEXT_NO_FLAGS instead of magic 0.

terminal/idev: use compose tables

Before forwarding keyboard events, feed them into possible compose tables.
This enables Compose-key and Dead-key features.

Few notes:
 * REPEAT events are never fed into compose tables. It just doesn't make
   sense and is usually not wanted. Compose-sequences are usually hard to
   remember and take time to type. Thus, the REPEAT event of the
   Compose-key itself would often cancel the compose sequence already.

 * Stop resolving symbols for UP events. Anything but keycodes is never
   associated to a physical key, but is a one-time action. There is
   nothing like UP events for key-symbols!

 * Cancel compose-sequences on Multi-Key UP. See the inline comment. We
   should make this configurable!

terminal/idev: add compose-file support

Add support for compose files to idev-keyboard. This requires
libxkbcommon-0.5.0, which is pretty new, but should be fine.

We don't use the compose-files, yet. Further commits will put life into
them.

smack: introduce new SmackProcessLabel option

In service file, if the file has some of special SMACK label in
ExecStart= and systemd has no permission for the special SMACK label
then permission error will occurred. To resolve this, systemd should
be able to set its SMACK label to something accessible of ExecStart=.
So introduce new SmackProcessLabel. If label is specified with
SmackProcessLabel= then the child systemd will set its label to
that. To successfully execute the ExecStart=, accessible label should
be specified with SmackProcessLabel=.
Additionally, by SMACK policy, if the file in ExecStart= has no
SMACK64EXEC then the executed process will have given label by
SmackProcessLabel=. But if the file has SMACK64EXEC then the
SMACK64EXEC label will be overridden.

[zj: reword man page]

gpt-auto-generator: properly ignore value

A negative return code was treated as a true value.

build-sys: support local ./configure arguments

I often want to use the awesome "./autogen.sh [cmd]" arguments, but have
to append some custom ./configure options. For now, I always had to edit
autogen.sh manually, or copy the full commands out of it and run it
myself.

As I think this is super annoying, this commit adds support for
".config.args" files in $topdir. If it exists, any content is just
appended to $args, thus to any ./configure invokation of autogen.sh.

Maybe autotools provide something similar out-of-the-box. In that case,
feel free to revert this and lemme know!

localed: validate xkb keymaps

Introduce a new optional dependency on libxkbcommon for systemd-localed.
Whenever the x11 keymap settings are changed, use libxkbcommon to compile
the keymap. If the compilation fails, print a warning so users will get
notified.

On compilation failure, we still update the keymap settings for now. This
patch just introduces the xkbcommon infrastructure to have keymap
validation in place. We can later decide if/how we want to enforce this.

cryptsetup: default to no hash when keyfile is specified

For plain dm-crypt devices, the behavior of cryptsetup package is to
ignore the hash algorithm when a key file is provided. It seems wrong
to ignore a hash when it is explicitly specified, but we should default
to no hash if the keyfile is specified.

https://bugs.freedesktop.org/show_bug.cgi?id=52630

manager: only issue overmount warning when the check succeeded

If for any reason the check failed (selinux?), we would still issue
the warning. Check the return status.

manager: let manager_free() handle NULLs

This makes the calling code a bit simpler.

dbus: return non-zero return value in the case that prefix won't match

strv_extend returns 0 in the case of success which means that
else if (bus_track_deserialize_item(&m->deserialized_subscribed, l) == 0)
        log_warning("Unknown serialization item '%s'", l);
will be printed when value is added correctly.

test: support empty environment variables in unit files

Also update TODO, empty environment variables in Environment= and
EnvironmentFile= options work.

man: reword list-dependencies description

The previous version was a bit too vague. It is better
to simply list all dependency types that are followed.

Previous version also made an emphasis on dependencies introduced by
configuration.  But this command (or systemd) don't care about this
distinction between configured and automatically added dependencies at
all. This distinctionis removed from the main description, and an
explanatory paragraph is added to remind the user that all
dependencies are shown, no matter where they come from.

systemctl: show BindsTo/BoundBy in list-dependencies

Suggested-by: Peter Mattern <matternp@arcor.de>
http://lists.freedesktop.org/archives/systemd-devel/2014-November/025437.html

nspawn: ignore EEXIST when mounting tmpfs

commit 79d80fc1466512d0ca211f4bfcd9de5f2f816a5a introduced a regression that
prevents mounting a tmpfs if the mount point already exits in the container's
root file system. This commit fixes the problem by ignoring EEXIST.

man/logind.conf.xml: make consistent with default logind.conf

https://bugs.freedesktop.org/show_bug.cgi?id=86263

Do not check for existence of remote binaries

systemd-run would fail when run with -M or -H and an absolute path,
if this path did not exists locally. Allow it to continue, since we
don't have a nice way of checking if the binary exists remotely.

The case where -M or -H is used and a local path is unchanged, and we
still iterate over $PATH to find the binary. We need to convert to an
absolute path, and we don't have a nice mechanism to check remotely,
so we assume that the binary will be located in the same place locally
and remotely.

http://lists.freedesktop.org/archives/systemd-devel/2014-November/025418.html

missing: add IFLA_BRPORT_LEARNING and friends

IFLA_BRPORT_LEARNING was added in v3.10-rc4-583-g9ba18891f7,
and IFLA_BRPORT_UNICAST_FLOOD in v3.10-rc4-584-g867a59436f.

missing: add __NR_getrandom for a few more archs

Mips has getrandom() too, but there's just too many variants
for me too care. Either someone who cares does it, or they get
compile-time warnings with old kernel headers.

selinux-access: fix broken ternary operator

it seems to be a typo introduced by ebcf1f97de4f6b1580ae55eb56b1a3939fe6b602
-                _r = selinux_access_check(_b, _m, _u->source_path ?:_u->fragment_path, (permission), &_error); \
+        ({ Unit *_unit = (unit); selinux_generic_access_check(bus,message, _unit->fragment_path ?: _unit->fragment_path, permission,error); })

man: don't mix 2ch and 8ch indentation in busctl.xml

man: add emacs header to get correct indention in nxml-mode for the manpage XML files that use 2ch indenting

In the long run we really should figure out if we want to stick with 8ch
or 2ch indenting, and not continue with half-and-half. For now, just
make emacs aware of the files that use 2ch indenting.

busctl: add --timeout= option to specify method call timeout

busctl: add options to control message header flags when invoking methods

nspawn: Add try-{host,guest} journal link modes

--link-journal={host,guest} fail if the host does not have persistent
journalling enabled and /var/log/journal/ does not exist. Even worse, as there
is no stdout/err any more, there is no error message to point that out.

Introduce two new modes "try-host" and "try-guest" which don't fail in this
case, and instead just silently skip the guest journal setup.

Change -j to mean "try-guest" instead of "guest", and fix the wrong --help
output for it (it said "host" before).

Change systemd-nspawn@.service.in to use "try-guest" so that this unit works
with both persistent and non-persistent journals on the host without failing.

https://bugs.debian.org/770275

units: make sure rfkill service is bount to the actual hardware

Revert "systemd-logind.service: set Type=notify"

This reverts commit a4962513c555fe3ac4b5bebf97a71701361a45b0.

logind.service is a D-Bus service, hence we should use the dbus name as
indication that we are up. Type=dbus is implied if BusName= is
specified, as it is in this case.

This removes a warning that is printed because a BusName= is specified
for a Type=notify unit.

tmpfiles.d: Create /var/lib/containers

Create /var/lib/containers so that it exists with an appropriate mode. We want
0700 by default so that users on the host aren't able to call suid root
binaries in the container. This becomes a security issue if a user can enter a
container as root, create a suid root binary, and call that from the host.
(This assumes that containers are caged by mandatory access control or are
started as user).

busctl: show property values in "introspect" output, add "set-property" command, and support both a terse and a verbose output format

busctl: when --address is specified do not assume we connect to a full bus

busctl: use canned error message on parse failure

sd-bus: create clean error when a property Set() call with incorrect signature is passed in

build: avoid trailing whitespace in feature string

util: add functions getting proc cwd and root

/proc/[pid]/cwd and /proc/[pid]/root are symliks to corresponding
directories

The added functions returns values of that symlinks.

sd-dhcp-lease: fix copy-paste error asserting wrong function argument

busctl: pass error output to stdout (rather than stderr) when generate tree for all objects

This is a ton more useful when some services fail, since we continue
crawling then and output everything to a pager.

busctl: improve output of service creds

busctl: add new "introspect" verb for introspecting objects

sd-bus: refuse properties that claim to be both writable and constant at the same time

core: watchdog bus properties cannot be both writable and constant

tests: fix minor memory leak

set: make set_consume() actually free the allocated string if the string already is in the set

busctl: split out introspection parser from tree logic so that we can reuse it for a future "busctl introspect" command

systemd-logind.service: set Type=notify

The code already calls sd_notify("READY=1"), so we may as well take
advantage of the startup behavior in the unit. The same was done for
the journal in a87a38c20.

sd-dhcp-lease: load/save client ID

The lease is usually tied to the client ID, so users of the
lease may want to know what client ID it was acquired with.

sd-dhcp-client: allow getting/setting the client ID

The client identifier can be in many different formats, not just
the one that systemd creates from the Ethernet MAC address.  Non-
ethernet interfaces may have different client IDs formats.  Users
may also have custom client IDs that the wish to use to preserve
lease options delivered by servers configured with the existing
client ID.

update TODO

sd-dhcp-lease: expose load/save functions

Based on patch by Dan Williams.

sd-dhcp-client: fix REBOOT state handling

client->secs wasn't getting set in the REBOOT state, causing
an assertion.  REBOOT should work the same way as INIT, per
RFC 2131:

 secs   2  Filled in by client, seconds elapsed since client
           began address acquisition or renewal process.

REBOOT is necessary because some DHCP servers (eg on
home routers) do not hand back the same IP address unless the
'ciaddr' field is filled with that address, which DISCOVER
cannot do per the RFCs.  This leads to multiple leases
on machine reboot or DHCP client restart.

namespace: unchecked return value from library

fix:

CID 1237553 (#1 of 6): Unchecked return value from library
(CHECKED_RETURN

CID 1237553 (#3 of 6): Unchecked return value from library
(CHECKED_RETURN)

CID 1237553 (#4 of 6): Unchecked return value from library
(CHECKED_RETURN)

CID 1237553 (#5 of 6): Unchecked return value from library
(CHECKED_RETURN

CID 1237553 (#6 of 6): Unchecked return value from library
(CHECKED_RETURN)

bus-socket: fix CID#996290 Unchecked return value

resolve: fix CID#1237549 Unchecked return value

log: unchecked return value from library

fix 1237557 Unchecked return value from library

udev: silence TOCTOU warning when creating a directory

CID#979416. There is no real race here to fix, but lets make coverity
happy and rework the code.

Note that we still fail if the directory is removed _after_ we ran
mkdir(), so the same race is still there. Coverity is complaining, though.
Rewrite the code to make it happy.

(David: rewrote the commit-message to note that this is not a race. If I'm
        wrong, blame me, not Ronny!)

pam_systemd: remove unused null check

username was already checked with isempty() and cannot be null at
this point.

CID#1237766

autogen: drop unnecessary -Wno-gnu for the clang shortcut

It is no longer necessary after 65e3a2cf7c3b399853dd309f702ca5078b7d16ea
where -Wno-gnu-variable-sized-type-not-at-end is added if we detect
that the compiler is clang.

bus-proxy: avoid redundant name validity checks

Our API calls check the validity of bus names anyway, hence we don't
have to do this before calling them...

bus-proxy: properly check for bus name prefixes when enforcing policy

bus-proxy: drop broken access check in driver

The access check call was broken (as it tried to read a service name
from the UpdateActivationEnvironment() method call which doesn't carry
any). Also, it's unnecessary to make any access checks here, as we just
forward the call to PID 1 which should do the access checks necessary.

kmod-setup: improve for "kdbus" word on the kernel cmdline

We really shouldn't check for words with "strstr()"...

kmod: move #ifdef checks for kmod-setup out of main.c into kmod-setup.c

update TODO

busctl: introduce busctl "get-property" command for reading and dumping object properties

mount-setup: remove mount_setup_late()

Turns out we can just do kmod_setup() earlier, before we do mount_setup(),
so there's no need for mount_setup_late() anymore. Instead, put kdbusfs in
mount_table[].

busctl: various tweaks to "busctl tree" output

man: various tweaks for busctl(1) man page

busctl: add new "call" command to invoke methods on a service

sd-bus: add sd_bus_message_is_empty() for checking whether a message carries any body

man: hostnamectl understands -M too

sd-bus: sync with kdbus upstream (ABI break)

kdbus has seen a larger update than expected lately, most notably with
kdbusfs, a file system to expose the kdbus control files:

 * Each time a file system of this type is mounted, a new kdbus
   domain is created.

 * The layout inside each mount point is the same as before, except
   that domains are not hierarchically nested anymore.

 * Domains are therefore also unnamed now.

 * Unmounting a kdbusfs will automatically also detroy the
   associated domain.

 * Hence, the action of creating a kdbus domain is now as
   privileged as mounting a filesystem.

 * This way, we can get around creating dev nodes for everything,
   which is last but not least something that is not limited by
   20-bit minor numbers.

The kdbus specific bits in nspawn have all been dropped now, as nspawn
can rely on the container OS to set up its own kdbus domain, simply by
mounting a new instance.

A new set of mounts has been added to mount things *after* the kernel
modules have been loaded. For now, only kdbus is in this set, which is
invoked with mount_setup_late().

bus-proxyd: temporarily disable policy checks again

There are issues to investigate on with policies shipped by some
packages, which we'll address later. Move that topic out of the
way for now to bring sd-bus in sync with upstream kdbus.

udev: support ENV{}=="" global property matches

udev: move global property handling from libudev to udevd

udev: switch to systemd logging functions

libudev: we do not log errors from libraries

tests: add test-execute

add tests for the following directives:
- WorkingDirectory
- Personality
- IgnoreSIGPIPE
- PrivateTmp
- SystemCallFilter: It makes test/TEST-04-SECCOMP obsolete, so it has
  been removed.
- SystemCallErrorNumber
- User
- Group
- Environment

manager: allow test run to catch SIGCHLD events

Otherwise we cannot know when a service exited

keymap: Fix special keys on ThinkPad X60/X61 Tablet

KEY_DIRECTION is mapped to XF86RotateWindows, to rotate the display:
http://cgit.freedesktop.org/xkeyboard-config/commit/symbols/inet?id=ec875f6f9b7c4028e11d32b071989c682e6502bd

And F13 is mapped to XF86Tools, which is closest to the original toolbox
usage:
http://cgit.freedesktop.org/xkeyboard-config/tree/symbols/inet?id=7a2c4bed212ebbcc05f3c959aef659ce7dd31fd8#n221

keymap: Add support for IBM ThinkPad X41 Tablet

Scancode taken from:
http://www.thinkwiki.org/wiki/Tablet_Hardware_Buttons#Linux_Support

William Jon McCann provided the DMI match. IBM seems to have
swapped the version and model of the system:
        Manufacturer: IBM
        Product Name: 18666TU
        Version: ThinkPad X41 Tablet

man: fix typo

Update TODO

udev: use properly the systemd logging functions

udev: use the systemd logging functions in udev tools

sd-bus: pass attach flags to BUS_CREATOR_INFO

kdbus learned parsing the attach flags for the KDBUS_CMD_BUS_CREATOR_INFO
ioctl. Bits not set in this mask will not be exported. Set that field to
_KDBUS_ATTACH_ALL for now.

Signed-off-by: Daniel Mack <daniel@zonque.org>

update TODO

sysuser: simplify access mode syncing by introducing helper function for it

bus-proxyd: explicitly address messages to unique and well-known name

In order to check for matching policy entries at message transfers, we
have to consider the following:

* check the currently owned names of both the sending and the receiving
peer. If the sending peer is connected via kdbus, the currently owned
names are already attached to the message. If it was originated by the
connection we're proxying for, we store the owned names in our own strv
so we can check against them.

* Walk the list of names to check which name would allow the message to
pass, and explicitly use that name as destination of the message. If the
destination is on kdbus, store both the connection's unique name and the
chosen well-known-name in the message. That way, the kernel will make sure
the supplied name is owned by the supplied unique name, at the time of
sending, and return -EREMCHG otherwise.

* Make the policy checks optional by retrieving the bus owner creds, and
when the uid matches the current user's uid and is non-null, don't check
the bus policy.

build-sys: move libsystemd-capability into libsystemd-shared

Revert "bus-proxyd: make policy checks optional"

This reverts commit 5bb24cccbce846c0d77e71b70a3be7f4b2ba6c0e.

It does not even compile (unbalanced {)

bus-proxyd: make policy checks optional

Retrieve the bus owner creds, and when the uid matches the current user's
uid and is non-null, don't check the bus policy.

bus-proxyd: move name list iteration to policy users

We need to figure out which of the possible names satisfied the policy,
so we cannot do the iteration in check_policy_item() but have to leave it
to the users.

Test cases amended accordingly.

bus-proxyd: enforce policy for method calls