ci: run the CodeQL action also when its configuration changes

Just to make sure we didn't break anything.

ci: sync the list of CodeQL queries with LGTM

ci: add a missing SPDX header

network: dhcp6pd: assign addresses in the delegated prefix instead of a subnet prefix /64 on upstream interface

network: dhcp6pd: do not check Announce= setting when the link does not support RADV

network: fix memleak

Follow-up for ab106a609bc253c0dc49667e981108110b3a87a5.

Fixes CID#1467055.

network: dhcp6pd: drop link_has_preferred_subnet_id() and inline condition

Merge pull request #20522 from yuwata/cgroup-fix

core/cgroup: fix io.weight and blkio.weight

ci: pin python dependencies and let Dependabot keep track of them

Merge pull request #21307 from medhefgo/boot-alloc

sd-boot: Non-failing allocators

units/systemd-udevd: allow bpf() syscall

Programs run by udev triggers may need to execute the bpf() syscall. Even more
so, since on a cgroup v2 system, the only way to set up device access filtering
is to install a BPF program on the cgroup in question and one way of passing
data to such program is through BPF maps, which can only be access using the
bpf() syscall. One such use case was identified in RHBZ#2025264 related to
snap-device-helper, and led to RHBZ#2027627 being filed.

Unfortunately there is no finer grained control over what gets passed in the
syscall, so just enable bpf() and leave fine grained mediation to other
security layers (eg. SELinux).

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=2027627

Signed-off-by: Maciek Borzecki <maciek.borzecki@gmail.com>

Merge pull request #21598 from DaanDeMeyer/journald-file

journal: Fix re-enabling COW for archived journal files on BTRFS

network,udev: do not adjust local assignment bit of specified MAC address

People often assigns the MAC address of the enslaved interface to e.g.
bridge interface. So, the local assignment bit should not be adjusted.

Fixes #21649.

Merge pull request #21642 from yuwata/network-state-file-ignore-dynamic-when-dbus-entry-exists

network: state-file: ignore dynamic entries when specified by DBus method

Merge pull request #21646 from mrc0mmand/lgtm-followups

LGTM follow-ups

Merge pull request #21639 from yuwata/network-dhcp6pd-use-dhcp6_pd_prefix_acquired

network: dhcp6pd: use dhcp6 pd prefix acquired() and drop dhcp6_pd_distribute_prefix()

Merge pull request #21196 from yuwata/process-util-nulstr

process-util: handle double NUL as the end of command line

TEST-10: don't attempt to write a byte to the socket

Writing a byte to test10.socket is actually the root cause of issue #19154:
depending on the timing, it's possible that PID1 closes the socket before socat
(or nc, it doesn't matter which tool is actually used) tries to write that one
byte to the socket. In this case writing to the socket returns EPIPE, which
causes socat to exit(1) and subsequently make the test fail.

Since we're only interested in connecting to the socket and triggering the rate
limit of the socket, this patch removes the parts that write the single byte to
the socket, which should remove the race for good.

Since it shouldn't matter whether the test uses socat or nc, let's switch back
to nc and hence remove the sole user of socat. The exit status of nc is however
ignored because some versions might choke when the socket is closed
unexpectedly.

build(deps): bump github/codeql-action from 1.0.24 to 1.0.25

Bumps [github/codeql-action](https://github.com/github/codeql-action) from 1.0.24 to 1.0.25.
- [Release notes](https://github.com/github/codeql-action/releases)
- [Changelog](https://github.com/github/codeql-action/blob/main/CHANGELOG.md)
- [Commits](https://github.com/github/codeql-action/compare/e095058bfa09de8070f94e98f5dc059531bc6235...546b30f35ae5a3db0e0be1843008c2224f71c3b0)

---
updated-dependencies:
- dependency-name: github/codeql-action
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>

network: state-file: do not append dynamic entries when specified by DBus method

Fixes #21515.

journal: Fix disabling NO_COW on btrfs filesystems

Disabling NOCOW when data has been written to a file doesn't work.
Instead, when we're done writing to a journal file (after archiving),
let's rewrite the file with COW enabled. This also takes care of
properly defragmenting the file.

With zstd compression level 3, journal files are compressed to 12%
of their original size with default journal settings.

As rewriting the file might take a while since we also do an fsync()
after the rewrite, this work is done in the offline thread to avoid
blocking the journald event loop.

basic: Make sure we're extra paranoid in chattr_full

On btrfs, trying to disable FS_NOCOW_FL on a file that has data
already written will fail silently without reporting an error. To
catch such cases, let's query the flags again if the IOC_SETFLAGS
ioctl() succeeds to make sure the flags we tried to configure we're
actually accepted by the kernel.

journal: Update the JournalFile path when archiving

When we archive a path, we rename the file to indicate this. However,
until now, we didn't actually update the path member of the corresponding
JournalFile instance. Let's make sure we also update this to avoid
misuse of the old path later on.

This change also requires we save the previous path in journal_file_rotate()
since we need to open a new file at the previous path.

mkosi: Add compsize to list of installed packages on Fedora

compsize is useful to check the compression ratio of journal files
on filesystems that support compression such as BTRFS.

mkosi: Add e2fsprogs to installed packages for Fedora

lsattr is useful to check chattr flags on files.

journal: Move offlining logic to journald-file.c

With this change, the logic to write the final tag, emit the final
change notification and to offline the file moves from journal_file_close()
to journald_file_close(). Since all this logic is only executed when
the journal file is writable and all code that writes journal files
already uses journald_file_close() instead of journal_file_close(), this
change should not introduce any changes in behaviour.

Moving the offline related logic to journald-file.c allows us to use
code from src/shared in the offlining logic, more specifically, we can
use the file copying logic from copy.h to fix BTRFS filesystem compression
for journal files when archiving.

journal: Introduce journald-file.c for journal file write related logic

Currently, all the logic related to writing journal files lives in
journal-file.c which is part of libsystemd (sd-journal). Because it's
part of libsystemd, we can't depend on any code from src/shared.

To allow using code from src/shared when writing journal files, let's
gradually move the write related logic from journal-file.c to
journald-file.c in src/journal. This directory is not part of libsystemd
and as such can use code from src/shared.

We can safely remove any journal write related logic from libsystemd as
it's not used by any public APIs in libsystemd.

This commit introduces the new file along with the JournaldFile struct
which wraps an instance of JournalFile. The goal is to gradually move
more functions from journal-file.c and fields from JournalFile to
journald-file.c and JournaldFile respectively.

This commit also modifies all call sites that write journal files to
use JournaldFile instead of JournalFile. All sd-journal tests that
write journal files are moved to src/journal so they can make use of
journald-file.c.

Because the deferred closes logic is only used by journald, we move it
out of journal-file.c as well. In journal_file_open(), we would wait for
any remaining deferred closes for the file we're about to open to complete
before continuing if the file was not newly created. In journald_file_open(),
we call this logic unconditionally since it stands that if a file is newly
created, it can't have any outstanding deferred closes.

No changes in behavior are introduced aside from the earlier execution
of waiting for any deferred closes to complete when opening a new journal
file.

core: use correct level for CPU time log message

raise_level() takes the info condition as second argument and the notice
one as third. For the consumed CPU time these conditions are swapped.

Fixes: 37109b856aeb ("pid1: use LOG_DEBUG/INFO/NOTICE for unit resource consumption message")

Merge pull request #21372 from DaanDeMeyer/journal-truncate

journal-file: truncate archived journals

Merge pull request #21638 from yuwata/network-dhcp6pd-prefix-lost

network: dhcp6pd: fix prefix lost handling

network: state-file: honor dhcp6_use_domains flag

analyze,resolve: suppress a couple of false-positive alerts

core: check for NULL in one more place

fix DirectoryNotEmpty when it comes to a Non-directory file

NEWS: add more entries for v250

NEWS: add more entries for v250

process-util: handle double NUL as the end of command line

Fixes #21186.

process-util: rename function arguments for storing results

Merge pull request #21620 from yuwata/udev-path-id

udev/path_id: fix skip_subsystem()

journal: punch holes in unused parts of entry arrays when archiving

Entry arrays grow exponentially, so when archiving a journal file is
archived, it's very likely that the final entry array objects in each
entry array chain aren't fully used. Let's punch holes in the unused
parts so the filesystem can reclaim this unused space and use it for
something else.

journal: truncate archived journals

Journal files have space allocated in 8MiB-aligned increments. This
can add up to substantial wasted space as many archived journals
accumulate without using all the allocated space. Let's truncate
journal files to their actually used size when archiving them to
reclaim this unused space.

As the mmap cache is not thread-safe, we can't call
journal_file_move_to_object() from the offline thread. Instead,
we use journal_file_read_object() which doesn't rely on the mmap
cache.

journal: Add journal_file_read_object()

Merge pull request #21633 from yuwata/network-route-null-destination

network: route: fix null destination handling

Merge pull request #21634 from yuwata/dhcp-header-cleanups

dhcp: trivial header cleanups

network: dhcp6pd: make dhcp6_pd_assign_prefixes() used also by dhcp6_pd_prefix_acquired()

network: dhcp6pd: first check prefixes, then calculate lifetime

network: dhcp6pd: shorten code a bit

network: dhcp6pd: skip to assign prefixes to a downstream link if it is not ready

network: dhcp6pd: move dhcp6_pd_assign_prefixes()

Preparation for the later commits.

network: dhcp6pd: also allow to only assign prefix route for delegated prefix to upstream interface

network: dhcp6pd: drop unreachable routes when lease lost

network: route: make route_cancel_request() take Link*

As the Route object may be managed by Manager.

network: dhcp6pd: also drop prefix assigned to upstream interface

But do not drop prefixes from downstream which request another uplink.

Merge pull request #21632 from yuwata/network-dhcp6pd-fix-typo-and-split

network: dhcp6pd: fix typo and split file

Merge pull request #21630 from yuwata/test-network-cleanups

test-network: trivial cleanups

network: eui64 address is supported only ethernet or infiniband

So, this makes prefixstable mode will be used for other interface types.

Merge pull request #21454 from bluca/inspect_elf

analyze: add inspect-elf verb to parse package metadata

man: fix description of sd_uid_get_sessions

journal: don't remove the flushed flag when journald is stopped

Due to the fact that systemd-journal-flush.service has
"Requires=systemd-journald.service", this service is stopped too when journald
is requested to do so.

However stopping systemd-journal-flush.service implies that journald
relinquishes /var hence implicitly switching back to the volatile storage
mode and removing /run/systemd/journal/flushed.

If journald is started afterwards, it will run in volatile storage mode
regardless of the value of 'Storage=' as it believes now that /var is not yet
ready (because the flushed flag is missing).

Because this flag is mainly an indication for journald that the initialization
of /var/log/journal (during the boot process) has been done,
systemd-journal-flush.service shouldn't be tied to the state of journald itself
but to the state of /var/log/journal, hence to the state of the system.

systemctl: support JSON output for "show-environment"

This commit adds a function which converts a bus message containing the
environment variables to a JSON object and uses this function to support
JSON formatted output for the "systemctl show-environment" command.

Fixes #21348

Merge pull request #21621 from mrc0mmand/lgtm-false-positive

lgtm: ignore certain cleanup functions

hwdb: Allow console users access to rfkill

This rule has been shipped in Fedora's gnome-bluetooth package for 10
years and is used by the gnome-settings-daemon rfkill plugin (used by
gnome-bluetooth, gnome-shell, and gnome-control-center) to monitor
and change software rfkill switch settings.

sd_bus_get_timeout: fix timeout value doc

The documentation of sd_bus_get_timeout wrongfully states that the returned time-value is relative. In fact, it is an absolute value which is based of CLOCK_MONOTONIC. This change corrects that documentation.

test-network: start dhcpd after address is assigned

test-network: make start_isc_dhcpd() take IP version

network: split networkd-dhcp6.c

This moves DHCPv6 prefix delegation related functions to
networkd-dhcp-prefix-delegation.c.

network: dhcp6pd: fix copy-and-paste error

network: route: handle null address with non-zero prefixlen correctly

Previously, even if a link has a route to e.g. ::/96, default gateway
via ::1.2.3.4 cannot be configured.

network: route: logs null address with non-zero prefixlen correctly

dhcp: fix indentation and alignment

dhcp6: drop unnecessary space

Merge pull request #21623 from nabijaczleweli/ekstrahuje

man/kernel-install clarifications

Merge pull request #21629 from yuwata/man-netdev-update

man: netdev: several cleanups

man: netdev: merge and reword Egress/IngressQOSMAps=

Merge pull request #21628 from yuwata/man-network-dnssec

man: network: fix default values for DNSSEC= and DNSOverTLS=

man: netdev: use … to specify range

man: netdev: use <varname> tag

man: network: fix default values for DNSSEC= and DNSOverTLS=

man: network: rebreak lines

meson: remove openssl dependency from repart

No longer needed since ade99252e2cdd9eeff78566789008996d27e4dc0

udev/path-id: comment why USB host number is dropped from the PATH_ID

Closes #21617.

The comment is borrowed from https://github.com/systemd/systemd/pull/21620#discussion_r762521508.

udev/path_id: fix skip_subsystem()

This partially reverts d340bdd1bd435e9f5524f4246feaf38511b2ff45.

The function previously drops multiple except for the last parents
which matches the specified subsystem.
But the commit d340bdd1bd435e9f5524f4246feaf38511b2ff45 drops all
parents.

E.g. input is pci-pci-pci-usb-usb-usb, then
Before d340bdd: pci-pci-pci-usb
After d340bdd: pci-pci-pci

tree-wide: check for NULLs in more places

Fixes issues pointed out by the `cpp/inconsistent-null-check` LGTM
query.

lgtm: detect more possible problematic scenarios

1) don't ignore stack-allocated variables, since they may hide
   heap-allocated stuff (compound types)
2) check if there's a return between the variable declaration and its
   initialization; if so, treat the variable as uninitialized
3) introduction of 2) increased the query runtime exponentially, so
   introduce some optimizations to bring it back to some reasonable
   values

kernel-install: fix MACHINE_ID extraction behaviour description

kernel-install: note the default $PRETTY_NAME if os-release wasn't found and that only 90-loaderentry uses it

kernel-install: note that 90-loaderentry will also use /usr/lib/k/cmdline

lgtm: ignore certain cleanup functions

as they don't do any illegal stuff even when used with an uninitialized
variable.

NEWS: add more entries for v250

Merge pull request #21563 from yuwata/network-IPoIB-support

network: IPoIB support

sd-netlink: fix implicit cast to boolean

network: set MTU after IPoIB configs are applied

MTU is updated when IB mode is changed.

network: add support to configure IPoIB interfaces

network/netdev: add support to create IPoIB subinterface

sd-netlink: add support for IPoIB

network/netdev: generate persistent MAC address when creating netdev interface

Preparation for later commits.

ci: consider `cryptolib` in the group identifier

otherwise we end up with more than one job with the same identifier in
one run, causing some of them to get cancelled unexpectedly.

A quick follow-up to 85bd394df57fe45c2873605e2c1d1d79e83e853d.

Merge pull request #21607 from mrc0mmand/ci-install-libbpf

ci: run build test with BPF-related stuff as well

Merge pull request #21582 from mrc0mmand/lgtm-uninitialized

lgtm: enable more queries

ci: install libbpf