user: allow setting multiple groups without user namespaces

When not using a user namespace, then we'll completely ignore
whether multiple groups have been specified by the user and only set
up the process's GID. With user namespaces, we in fact cannot set up
supplementary groups as we have set up "/proc/self/setgroups" to
deny any call to setgroups(2). But we can do better than that when
not using user namespaces, as we're free to use that syscall.

As nsjail(1) documents that "--group" can be specified multiple
times without mentioning that this won't work with
"--disable_clone_newuser", change the code to make that
constellation work.

use TEMP_FAILURE_RETRY with some restartable funcs

configs/image-magic: make convert be overridable

cmdline: don't clear cmdline exec_file is arguments are provided on cmdline

config.proto: Exe.path is required

cmdline: make sure that argv[0] exists

user: function naming

configs/firefox-with-cloned-net: add fontconfig config envvars

configs/firefox: add fontconfig config envvars

cmdline: allow to override config cmdline with cmdline cmdline

configs/conver: revert the last one to properly figure it out

Merge pull request #114 from disconnect3d/patch-1

Fixes issue #113

Fixes issue #113

nsjail: remove warning about CLONE_NEWUSER

allow to use nsjail w/o namespaces

mnt: try /run/user/<uid>/nsjail as a root mount dir first

mnt: use /run/usr/<uid> first when mounting dirs

subproc: save/restore errno when printing error message twice

flush stdin after nsjail ends

Merge pull request #109 from disconnect3d/fix-cgroup-cpu-mount-option

Fix #108 - missing cgroup_cpu_mount option setting

Fix #108 - missing cgroup_cpu_mount option setting

Merge pull request #107 from adamcarheden/tomcat

Added example config for tomcat

Added example config for tomcat

incrase the default RLIMIT_AS limit to 4GiB. 512MiB is not enough for many payloas, and cgroups should be used for memory limiting anyway

Merge pull request #104 from adamcarheden/libnl-dep

Fixed missing dependency on libnl-route-3-dev

Fixed missing dependency on libnl-route-3-dev

util: call ::syscall for syscall()

use util::syscall whenever possible

util: introduce syscall to avoid vararg argument parsing

contain: log formatting

configs/xorg: add /dev/[u]random

cmdline: more bried debug output

log: don't print description of level with HELP/HELP_BOLD

Make netlink3-route mandatory

Merge pull request #103 from remexre/master

Fixes typo in manpage.

Fixes typo in manpage.

Merge pull request #102 from jvvv/master

README.md: update cgroup_cpu_ms_per_sec

open might return EINTR

subproc: PLOG -> LOG

More of RETURN_ON_FAILURE

README.md: update cgroup_cpu_ms_per_sec

make indent

logs: va_end() used too early

logs: avoid multiple syscall(__NR_write) in logs

logs: use anonymous struct

cmdline: clarify cgroup_cpu_ms_per_sec

subproc: print more data on sigsys

Merge branch 'master' of ssh://github.com/google/nsjail

Merge pull request #99 from rutsky/writeToFd_return_type

fix writeToFD() return type in declaration

fix writeToFD() return type in declaration

In 25a7791d return type of writeToFD() was changed from `ssize_t` to `bool`, but header wasn't updated.

Merge branch 'master' of ssh://github.com/google/nsjail

Merge pull request #98 from disconnect3d/fix-writeToFd-return-type

Fix utils::writeToFd return type

Fix utils::writeToFd return type

The `writeToFd` function in `util.cc` returns `ssize_t` but the only
returned values are either `false` or `true`.

```
ssize_t writeToFd(int fd, const void* buf, size_t len) {

(...) return false;

(...) return true;
```

mnt: better description for mounts

Merge branch 'master' of ssh://github.com/google/nsjail

mnt: better description for mounts

Update kafel - fixes build on Ubuntu 14.04

config.proto: renumber the fields

config.proto: comments

mnt: simplify debug message #2

mnt: simplify debug message

mnt: simplify printing mnt points

cmdline/env: don't set empty envvars

cmdline: add ability to passthrough current envvars

Support --iface_vs_ma with libnl3

Merge branch 'master' of github.com:google/nsjail

configs/xchat: add LANG

code formatting

Merge pull request #96 from mickydelfavero/master

Added --macvlan_vs_ma switch to be able to set macvlan's mac-address.

Remove duplicate code

Signed-off-by: Micky Del Favero <micky@BeeCloudy.net>

Added --macvlan_vs_ma switch to be able to set macvlan's mac-address.

Signed-off-by: Micky Del Favero <micky@BeeCloudy.net>

Updated kafel

use new kafel features in configs and examples

update kafel

Merge pull request #94 from tomj/master

README Docker disambiguations

README Docker disambiguations

Disambiguate between nsjail _container_ and _command_ in README for easier reading.

- Being a n00b to this project I feel this makes the onboarding of use with Docker somewhat easier by removing duplicated/overloaded terms.

Merge pull request #90 from disconnect3d/patch-1

Update config.proto

Update config.proto

Update config.proto

config: correct way of setting pass_fd

mnt: function rename

configs/bash: add noexec/nodev/nosuid to a mount

subproc: reap processes after killing

Always try to release resources if possible.

Fixes #69

mnt: added nosuid/nodev/noexec flags to config

Closes #70

cgroup: refactor cgroup code

Extract common functions, use c++ strings.

Fixes #83

mnt: remount all filesystems

Explicitly specifying RW "/" mount in config did not yield desired
result.
The reason was a default RO "/" tmpfs is prepended to mountpoint
list. All filesystems are initially mounted RW to be able to create
directories for mountpoints. Read only filesystems were remounted
during a 2nd pass, effectively overriding RW flag of fs mounted
over them.

Fixes #88

conifg: parse cgroup_cpu settings

Fixes #87

Merge pull request #85 from jvvv/master

README.md, nsjail.1: add --stderr_to_null option

nsjail: clearer new_proc/reap_proc loop

subproc: better log messages

Don't re-run process if previous execution failed

README.md, nsjail.1: add --stderr_to_null option

subproc: correct casting for nsjconf->tlimit in printf

configs/bash: add stderr_to_null

cmdline: more stderr_to_null closer to is_silent

config: Implement --stderr_to_null

net: use memset to init stack structs

Makefile: lower -Wformat to 1

util: c++ version of sprintf

Merge pull request #82 from jvvv/master

nsjail.1: update manpage to match README