resolved: validate authentic insecure delegation to CNAME

If the parent zone uses a non-opt-out method that provides authenticated
negative DS replies, we still can't expect signatures from the child
zone. sd-resolved was using the authenticated status of the DS reply to
require signatures for CNAMEs, even though it had already proved that no
signature exists.

Fixes: 47690634f157 ("resolved: don't request the SOA for every dns label")

resolved: probe for dnssec support in allow-downgrade mode

Previously, sd-resolved unnecessarily requested SOA records for each dns
label in the query, even though they are not needed for the chain of
trust. Since 47690634f157, only the necessary records are queried when
validating.

This is actually a problem in allow-downgrade mode, since we will no
longer attempt a query for a record that we know is signed a priori, and
will therefore never update our belief about the state of dnssec support
in the recursive resolver.

Rectify this by reintroducing a query for the root zone SOA in the
allow-downgrade case, specifically to test that the resolver attaches
the RRSIGs which we know must exist.

Fixes: 47690634f157 ("resolved: don't request the SOA for every dns label")

Merge pull request #32613 from arthurzam/bash-v256

More shell-completions work

shell-completion: add bash completion for systemd-vmspawn

Signed-off-by: Arthur Zamarin <arthurzam@gentoo.org>

shell-completion: add missing args to zsh resolvectl

Signed-off-by: Arthur Zamarin <arthurzam@gentoo.org>

shell-completion: add missing args to bash resolvectl

Signed-off-by: Arthur Zamarin <arthurzam@gentoo.org>

shell-completion: add missing args to bash systemd-analyze

Signed-off-by: Arthur Zamarin <arthurzam@gentoo.org>

reboot-util: Add some basic validation on reboot arguments

Let's only accept valid ASCII and put a size limit on reboot arguments.

Merge pull request #32611 from DaanDeMeyer/qdisc

network/tc: Avoid concurrent set modification in tclass_drop()/qdisc_drop()

network/tc: Avoid concurrent set modification in tclass_drop()/qdisc_drop()

With the current algorithm, we can end up removing entries from the
qdisc/tclass sets while having multiple open iterators over the sets at
various positions which leads to assertion failures in the hashmap logic
as it's only safe to remove the "current" entry.

To avoid the problem, let's split up marking and dropping of tclasses
and qdiscs. First, we recursively iterate tclasses/qdiscs and mark all
that need to be removed. Next, we iterate once over tclasses and qdiscs
and remove all marked entries.

Fixes 632d321050f58fe1b5bed7cfe769d212377c0301

test-network: Make source directory optional

test: Follow symlinks when copying with rsync

We have e.g. 25-default.link in test-network/ which becomes a broken
symlink when installed so let's not copy the symlinks but follow them
instead so they don't become broken.

build(deps): bump redhat-plumbers-in-action/differential-shellcheck

Bumps [redhat-plumbers-in-action/differential-shellcheck](https://github.com/redhat-plumbers-in-action/differential-shellcheck) from 5.1.1 to 5.1.2.
- [Release notes](https://github.com/redhat-plumbers-in-action/differential-shellcheck/releases)
- [Changelog](https://github.com/redhat-plumbers-in-action/differential-shellcheck/blob/main/docs/CHANGELOG.md)
- [Commits](https://github.com/redhat-plumbers-in-action/differential-shellcheck/compare/c15070885a82a2c93db8a765d332c38c50dde8b3...52bab0caa5249d6acd8bcd5bc7a68e69ac9319f9)

---
updated-dependencies:
- dependency-name: redhat-plumbers-in-action/differential-shellcheck
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>

build(deps): bump redhat-plumbers-in-action/gather-pull-request-metadata

Bumps [redhat-plumbers-in-action/gather-pull-request-metadata](https://github.com/redhat-plumbers-in-action/gather-pull-request-metadata) from 1.6.1 to 1.7.0.
- [Release notes](https://github.com/redhat-plumbers-in-action/gather-pull-request-metadata/releases)
- [Commits](https://github.com/redhat-plumbers-in-action/gather-pull-request-metadata/compare/69c703f376018c1a41c8ccce21dc2e16a79f3324...17821d3bc27c1efed339595898c2e622accc5a1b)

---
updated-dependencies:
- dependency-name: redhat-plumbers-in-action/gather-pull-request-metadata
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge pull request #32610 from YHNdnzj/install-have-modification

core/dbus-manager: mark unit file state as outdated only if some changes succeeded

core/dbus-manager: mark unit file state as outdated only if
some changes succeeded

Follow-up for a82b8b3dc80619c3275ad8180069289b411206d0

We don't need to invalidate the unit file state
if all operations failed.

Also, emit UnitFilesChanged signal as long as
some operations succeeded.

build(deps): bump pkg/arch from `6a2bc57` to `dd7aff4`

Bumps pkg/arch from `6a2bc57` to `dd7aff4`.

---
updated-dependencies:
- dependency-name: pkg/arch
  dependency-type: direct:production
...

Signed-off-by: dependabot[bot] <support@github.com>

shared/install: use FOREACH_ARRAY for install_changes_have_modification

shared/install: reduce variable scope

systemctl: fix log message when glob patterns passed to disable command and friends

Fixes #32599.

systemctl: Implement --wait for kill command

TEST-26-SYSTEMCTL is racy as we call systemctl is-active immediately
after systemctl kill. Let's implement --wait for systemctl kill and
use it in TEST-26-SYSTEMCTL to avoid the race.

Merge pull request #32540 from DaanDeMeyer/mkosi

mkosi: Enable more integration tests

core/exec-credential: update comment

man/run0: fix typo (missing "by")

core: Fix file descriptor leak

po: Translated using Weblate (Slovenian)

Currently translated at 14.8% (35 of 235 strings)

Co-authored-by: Martin Srebotnjak <miles@filmsi.net>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/main/sl/
Translation: systemd/main

test: Add disabled mkosi tests to meson.build

Makes it easier to track which ones still need to be fixed.

test: Enable more mkosi integration tests

test: Bump mkosi integration test timeout to 1800 seconds

Same timeout as the bash framework.

test: Make journal storage configurable per test and make persistent for TEST-09-JOURNAL

Also fix a bug in the logic since it's 'volatile' and not 'runtime'.

test: Drop /usr overlay workaround

/usr is not erofs anymore in the mkosi images so let's drop the
workaround where we mount a writable tmpfs on top of /usr.

Revert "TEST-25-IMPORT: Skip if importctl not installed"

This reverts commit dcb17e3295dfce1a9a9f4fb648c4750c05d3c46d.

importctl is now correctly installed on opensuse, so no need for
this workaround anymore.

TEST-71-HOSTNAME: Ignore error from reset-failed

On OpenSUSE the systemd-hostnamed does not fail and is unloaded which
causes reset-failed to fail. So let's ignore any errors from reset-failed
to make the test more robust.

TEST-46-HOMED: Check for sshd pam snippet in /usr/lib/pam.d as well

opensuse ships pam snippets in /usr/lib/pam.d.

TEST-82-SOFTREBOOT: Exit with exit status 123

Required to make mkosi consider the test successful.

TEST-35-LOGIN: Exclude manager entry in testcase_sanity_check()

Otherwise we try to kill the wrong session.

TEST-18-FAILUREACTION: Exit with 123 on success

mkosi expects the virtual machine/container to exit with exit status
123 on success so let's make sure that's the case.

TEST-09-REBOOT: Make journalctl grep pattern more specific

We might be rotating because we reached limits, which is perfectly
fine, so don't fail if that happens.

TEST-13-NSPAWN: Skip on virtiofs

The rootfs only has 64K UIDs available when booting with virtiofs,
whereas the nspawn tests want to use user namespace which require
more than 64K UIDs.

TEST-13-NSPAWN: move disk images to /var/tmp

/tmp may not be large enough to contain disk images
and will result in strange errors when it runs out of space.

tree-wise: several cleanups for logging

- drop unnecessary SYNTHETIC_ERRNO() when the logger does not propagate
  error code,
- drop unnecessary '%m' in error message when the error code is
  specified with SYNTHETIC_ERRNO(),
- add missing full stop at the end of log message,
- use RET_GATHER(),
- add missing ", ignoring.",
- upeercase the first letter, etc., etc...

TEST-13-NSPAWN: move container template to /usr/share

Having directories in / causes problems for make-root-on-boot images

TEST-04-JOURNAL: Make LogFilterPatterns= tests more robust

Let's use oneshot services as we don't need long running services
for the tests we're doing. Let's also increase the sleeps a little
as the current values weren't sufficient when running the test locally
on my machine with mkosi.

TEST-83-BTRFS: Skip if root filesystem is not btrfs

TEST-35-LOGIN: Handle multiple lock messages per sleep

If 3 lock messages get sent when going to sleep
then we can falsely assume we have woken up if we only assume we have at least two
so checking we have more than we did before sleeping addresses that issue.

mkosi: Fix %__check_files eval in opensuse build script

Make sure the correct buildroot gets expanded instead of the default
opensuse build root location.

We also remove debug files from the unpackaged files list as they're
handled separately by rpm.

build-path: fix SIGSEGV on RISC-V and MIPS

On RISC-V and MIPS DT_STRTAB is an offset, not a full address.

Follow-up for 91d149cfb45fc2fad7ce18fb651297ee50ecc1f8

catalog: update Polish translation

Includes changes up to 844863c61e7b501097da84a1e4d1e4a6aa6d9f0d

network-generator: add missing return on error after the logging refactor

Fixes 3cb618084a1bd5c7cb42822b4ce3dbd048e6bd24

mkosi: Install more locales on CentOS/Fedora

Required for TEST-73-LOCALE.

mkosi: Install tpm2-tools in system image

Required for TEST-70-TPM2.

mkosi: Override /sbin/init in minimal-base

Required for TEST-13-NSPAWN.

mkosi: Use systemd.crash_action=poweroff in integration tests

Some integration tests expect to be able to reboot so switch to using
the new systemd.crash_action=poweroff instead.

mkosi: Add curl package for journal tests

mkosi: Mask systemd-networkd-wait-online when --runtime-network=none

Otherwise it will wait forever waiting for an interface to appear.
See https://github.com/systemd/systemd/issues/29388.

mkosi: Disable --runtime-scratch=no for tests

Breaks TEST-83-BTRFS if enabled.

mkosi: Install locales on debian/ubuntu

Required for TEST-73-LOCALE.

mkosi: Make sure our extra kernel command line overrides the config one

mkosi: Simply remove all the debian patches instead of mounting over them

The build sources are ephemeral anyways, so we can just remove the patches
instead of hiding them.

mkosi: Use symlinks instead of bind mounts for Arch

With bind mounts, the directories we bind mount to get recorded as
the meson source and build directories. This means meson will complain
if we later try to run meson install -C /work/build in the virtual
machine or container. If we use symlinks, the directories we symlink to
will be recorded as the meson source and build directories, which means
meson install -C /work/build will work when executed after booting the
VM or container.

I tried to do the same for debian as well but the debian package tooling
changes directory into the build directory and then does meson setup ..
which is completely broken when switching to a symlink.

mkosi: Install minimal-base to /usr/share/testsuite-13-container-template

Required for TEST-13-NSPAWN.

mkosi: Remove more files from Arch minimal image

Merge pull request #32523 from cgzones/inaccessible_label

shared: create inaccessible files with correct security label

po: add a false positive to POTFILES.skip

Scripts used to detect files that should be in POTFILES.in, like
intltool-update -m used on https://l10n.gnome.org/module/systemd/,
falsely detect this file as containing translations. Avoid this
behavior by putting the file in POTFILES.skip.

docs: autopkgtest: refresh the docs with up-to-date information

@iainlane doesn't work on Ubuntu infrastructure anymore, and `bionic` is still ESM, but not really supported anymore either.
`noble`, which is the latest Ubuntu, probably is better for testing `systemd` in 2024, and pinging `qa-help` on IRC is the current official way to contact the team behind Ubuntu's infrastructure.

test: exclude gperf files from captured coverage

Recent lcov started complaining loudly about unknown lines in gperf
files:

...
Found gcov version: 13.2.1
Using intermediate gcov format
Recording 'internal' directories:
...
Finished processing 1634 GCNO files
Apply filtering..
Message summary:
  1 error message:
    range: 1
  28 warning messages:
    gcov: 27
    usage: 1
geninfo: ERROR: (range) unknown line '33' in /build/src/home/homed-gperf.gperf: there are only 22 lines in the file.
  Use 'geninfo --filter range' to remove out-of-range lines.
        (use "geninfo --ignore-errors range ..." to bypass this error)

Since we drop the coverage of built files from the final report anyway,
let's do it also when capturing both initial and real coverage to avoid
this error.

test: Don't persist journal in mkosi image if we're not debugging tests

If we're not debugging tests, there's no point in persisting the journal,
so let's use the volatile journal storage mode in that case to avoid doing
unnecessary work.

We don't disable journal storage alltogether since various tests check
that stuff is written to the journal.

journal: Add journal.storage credential

In mkosi CI, we want persistent journals when running interactively
and runtime journals when running in CI, so let's add a credential
that allows us to configure which one to use.

build(deps): bump pkg/debian from `640ff73` to `9a5adf2`

Bumps pkg/debian from `640ff73` to `9a5adf2`.

---
updated-dependencies:
- dependency-name: pkg/debian
  dependency-type: direct:production
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge pull request #32575 from DaanDeMeyer/fix

Various mkosi fixes

mkosi: Make sure we create an image without /var/log/journal

This allows journald to create the directory itself with the right
chattr settings on first boot.

mkosi: Simplify rpm build scripts

Merge pull request #32567 from DaanDeMeyer/profile

mkosi: Introduce particle profile

test-journal-flush: use archived journal if possible

Workaround for #32436.

The test may fail if the journal is vacuumed or rotated during the test is running.
Let's use the newest archive file for safety.

mkosi: Introduce particle profile

Unfortunately the current mkosi partitioning setup is a bit too
avant-garde for the integration tests. Both in that distributions
aren't ready for it yet (some more than others), and that software
which we depend on in the integration tests isn't ready for it yet
(e.g. libselinux does not read its configuration from /usr).

Let's switch back to a more boring partioning setup by default but
keep the fancy stuff around as a mkosi profile. This means that it
can still be used for manually testing stuff by running
"mkosi --profile particle -f qemu".

TEST-81-GENERATORS: Use SYSTEMD_PROC_CMDLINE more

Makes the test more robust as the command line the image is booted
won't influence the test result.

meson: bump libbpf dependency to 1.4.0 when using gcc

bpf_core_type_id_kernel() needs libbpf 1.4.0 when building with gcc
rather than clang, so bump the dependency accordingly.

More precisely, the following change is needed:

https://github.com/libbpf/libbpf/commit/b19fdbf1be21a28f88740375a575ebd9dfbea68f

Related to: https://github.com/systemd/systemd/issues/31869

Follow-up for 8aee931e7ae1adb01eeac0e1e4c0aef6ed3969ec

machine: Add PIDFDs= fallback

In some environments, systemd-machined might not be restarted on
downgrade. For safety, let's add the usual PIDFDs= fallback here
as well.

resolved: always progress DS queries

If we request a DS and the resolver offers an unsigned SOA, a new
auxiliary transaction for the DS will be rejected as a loop, and we
might not make any progress toward finding the DS we need. Let's ensure
that we at least always check the parent in this case.

Fixes: 47690634f157 ("resolved: don't request the SOA for every dns label")

meson: copy prefix mapping CFLAGS when building BPF objects

Otherwise the filenames will contain variable paths and break reproducibility

shared: create inaccessible files with correct security label

basic: add open_mkdir_at_full()

Add helper for open_mkdir_at() which accepts xopen flags, e.g. to pass
XO_LABEL to create the target with the correct security context.

basic: add mknodat_label()

Add helper for mknodat(2) which creates the destination with the correct
security label.

meson: define 's390' for 's390x' when building BPF objects

The kernel headers match on __s390__ so the build fails

../src/nsresourced/bpf/userns_restrict/userns-restrict.bpf.c:159:6: error: Must specify a BPF target arch via __TARGET_ARCH_xxx
void BPF_KPROBE(userns_restrict_free_user_ns, struct work_struct *work) {
     ^
/usr/include/bpf/bpf_tracing.h:817:20: note: expanded from macro 'BPF_KPROBE'
        return ____##name(___bpf_kprobe_args(args));                        \
                          ^
/usr/include/bpf/bpf_tracing.h:797:41: note: expanded from macro '___bpf_kprobe_args'
                                        ^
/usr/include/bpf/bpf_helpers.h:195:29: note: expanded from macro '___bpf_apply'
                            ^
note: (skipping 2 expansions in backtrace; use -fmacro-backtrace-limit=0 to see all)
/usr/include/bpf/bpf_tracing.h:789:72: note: expanded from macro '___bpf_kprobe_args1'
                                                                       ^
/usr/include/bpf/bpf_tracing.h:563:29: note: expanded from macro 'PT_REGS_PARM1'
                            ^
<scratch space>:125:6: note: expanded from here
 GCC error "Must specify a BPF target arch via __TARGET_ARCH_xxx"

Merge pull request #32547 from YHNdnzj/minor-cleanup

Some cleanups prompted during review

boot: fix argument name mismatch in two functions

core: Add systemd.crash_action= kernel command line argument

Required for integration tests to power off on PID 1 crashes. We
deprecate systemd.crash_reboot and related options by removing them
from the documentation but still parsing them.

journalctl: also check arg_file_stdin with other journal location
options

Prompted by #32491

docs/DEBUGGING.md: use an underscore in the kernel command line option

systemd-debug-generator(8) lists it as `systemd.debug_shell`.

According to 1d84ad944520fc3e062ef518c4db4e1d3a1866af, kernel command
line options should use an underscore instead of a dash.

core: Pass NULL error in dump_impl()

If mac_selinux_access_check() or bus_verify_bypass_dump_ratelimit_async()
fail, we goto "ratelimited" where we set a custom D-BUS error. In
"ratelimited", we call sd_bus_error_setf() which eventually hits an
assert_return(!bus_error_is_dirty()). Avoid hitting this assertion by
passing NULL as the error to mac_selinux_access_check() and
bus_verify_bypass_dump_ratelimit_async() since we will override the error
immediately anyway if either fails.

We modify both functions as well to allow passing a NULL error and fix
the argument name as well while we're at it.

Merge pull request #32556 from YHNdnzj/development-freeze

development-freeze: suppress warning for some labels

build(deps): bump pkg/debian from `4b1f868` to `640ff73`

Bumps pkg/debian from `4b1f868` to `640ff73`.

---
updated-dependencies:
- dependency-name: pkg/debian
  dependency-type: direct:production
...

Signed-off-by: dependabot[bot] <support@github.com>

development-freeze: suppress warning for some labels

labeler: add l10n 🌍

pam: Setup logging to syslog

We already log to syslog using pam_syslog() for logs generated directly
within our pam plugins. However, any logs generated by our generic logging
macros that are invoked within a pam plugin will log to the console. Let's
make sure our generic logging macros are set up to log to syslog as well.

po: Translated using Weblate (French)

Currently translated at 100.0% (233 of 233 strings)

Co-authored-by: Pierre GRASSER <pierre.grasser@proton.me>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/main/fr/
Translation: systemd/main

NEWS: fix minimum dracut version required for systemd v256

Follow-up for d4e9be97a3

fs-util: modernize touch_file a bit

fs-util: try AT_EMPTY_PATH first for futimens_opath

efivars: drop unneeded UTIME_NOW

futimens(2) defaults to current time if 'times' is NULL.