fix sem_timedwait bug introduced in timedwait unification

this dec used to be performed by the cancellation handler, which was
called when popped.

unify and overhaul timed futex waits

new features:

- FUTEX_WAIT_BITSET op will be used for timed waits if available. this
  saves a call to clock_gettime.

- error checking for the timespec struct is now inside __timedwait so
  it doesn't need to be duplicated everywhere. cond_timedwait still
  needs to duplicate it to avoid unlocking the mutex, though.

- pushing and popping the cancellation handler is delegated to
  __timedwait, and cancellable/non-cancellable waits are unified.

avoid accessing mutex memory after atomic unlock

this change is needed to fix a race condition and ensure that it's
possible to unlock and destroy or unmap the mutex as soon as
pthread_mutex_lock succeeds. POSIX explicitly gives such an example in
the rationale and requires an implementation to allow such usage.

fix breakage in cancellation due to signal functions overhaul

sigaddset was not accepting SIGCANCEL as a valid signal number.

overhaul posix semaphores to fix destructability race

the race condition these changes address is described in glibc bug
report number 12674:

http://sourceware.org/bugzilla/show_bug.cgi?id=12674

up until now, musl has shared the bug, and i had not been able to
figure out how to eliminate it. in short, the problem is that it's not
valid for sem_post to inspect the waiters count after incrementing the
semaphore value, because another thread may have already successfully
returned from sem_wait, (rightly) deemed itself the only remaining
user of the semaphore, and chosen to destroy and free it (or unmap the
shared memory it's stored in). POSIX is not explicit in blessing this
usage, but it gives a very explicit analogous example with mutexes
(which, in musl and glibc, also suffer from the same race condition
bug) in the rationale for pthread_mutex_destroy.

the new semaphore implementation augments the waiter count with a
redundant waiter indication in the semaphore value itself,
representing the presence of "last minute" waiters that may have
arrived after sem_post read the waiter count. this allows sem_post to
read the waiter count prior to incrementing the semaphore value,
rather than after incrementing it, so as to avoid accessing the
semaphore memory whatsoever after the increment takes place.

a similar, but much simpler, fix should be possible for mutexes and
other locking primitives whose usage rules are stricter than
semaphores.

fix wrong messages in gai_strerror

i had missed the fact that a couple values were unassigned...

port numbers should always be interpreted as decimal

per POSIX and RFC 3493:

If the specified address family is AF_INET, AF_INET6, or AF_UNSPEC,
the service can be specified as a string specifying a decimal port
number.

021 is a valid decimal number, therefore, interpreting it as octal
seems to be non-conformant.

fix crash in dns code with new stdio locking code

consistency: use struct __ucontext instead of ucontext_t in prototypes

this is necessary to avoid build errors if feature test macros are not
properly defined when including ucontext.h

fix race condition in sigqueue

this race is fundamentally due to linux's bogus requirement that
userspace, rather than kernelspace, fill in the siginfo structure. an
intervening signal handler that calls fork could cause both the parent
and child process to send signals claiming to be from the parent,
which could in turn have harmful effects depending on what the
recipient does with the signal. we simply block all signals for the
interval between getuid and sigqueue syscalls (much like what raise()
does already) to prevent the race and make the getuid/sigqueue pair
atomic.

this will be a non-issue if linux is fixed to validate the siginfo
structure or fill it in from kernelspace.

clean up pthread_sigmask/sigprocmask dependency order

it's nicer for the function that doesn't use errno to be independent,
and have the other one call it. saves some time and avoids clobbering
errno.

fix some bugs in setxid and update setrlimit to use __synccall

setrlimit is supposed to be per-process, not per-thread, but again
linux gets it wrong. work around this in userspace. not only is it
needed for correctness; setxid also depends on the resource limits for
all threads being the same to avoid situations where temporarily
unlimiting the limit succeeds in some threads but fails in others.

add proper fuxed-based locking for stdio

previously, stdio used spinlocks, which would be unacceptable if we
ever add support for thread priorities, and which yielded
pathologically bad performance if an application attempted to use
flockfile on a key file as a major/primary locking mechanism.

i had held off on making this change for fear that it would hurt
performance in the non-threaded case, but actually support for
recursive locking had already inflicted that cost. by having the
internal locking functions store a flag indicating whether they need
to perform unlocking, rather than using the actual recursive lock
counter, i was able to combine the conditionals at unlock time,
eliminating any additional cost, and also avoid a nasty corner case
where a huge number of calls to ftrylockfile could cause deadlock
later at the point of internal locking.

this commit also fixes some issues with usage of pthread_self
conflicting with __attribute__((const)) which resulted in crashes with
some compiler versions/optimizations, mainly in flockfile prior to
pthread_create.

eliminate dependence of perror on printf

fix bug in synccall with no threads: lock was taken but never released

add setxid.c for new set*id() framework. missed in last commit.

new attempt at making set*id() safe and robust

changing credentials in a multi-threaded program is extremely
difficult on linux because it requires synchronizing the change
between all threads, which have their own thread-local credentials on
the kernel side. this is further complicated by the fact that changing
the real uid can fail due to exceeding RLIMIT_NPROC, making it
possible that the syscall will succeed in some threads but fail in
others.

the old __rsyscall approach being replaced was robust in that it would
report failure if any one thread failed, but in this case, the program
would be left in an inconsistent state where individual threads might
have different uid. (this was not as bad as glibc, which would
sometimes even fail to report the failure entirely!)

the new approach being committed refuses to change real user id when
it cannot temporarily set the rlimit to infinity. this is completely
POSIX conformant since POSIX does not require an implementation to
allow real-user-id changes for non-privileged processes whatsoever.
still, setting the real uid can fail due to memory allocation in the
kernel, but this can only happen if there is not already a cached
object for the target user. thus, we forcibly serialize the syscalls
attempts, and fail the entire operation on the first failure. this
*should* lead to an all-or-nothing success/failure result, but it's
still fragile and highly dependent on kernel developers not breaking
things worse than they're already broken.

ideally linux will eventually add a CLONE_USERCRED flag that would
give POSIX conformant credential changes without any hacks from
userspace, and all of this code would become redundant and could be
removed ~10 years down the line when everyone has abandoned the old
broken kernels. i'm not holding my breath...

remove ugly prng from mk*temp and just re-poll time on retry

eliminate mk*temp dependency on snprintf

this helps some tiny programs be even more tiny, and barly increases
code size even if both are used.

fix for setenv bogus var argument handling

thanks to mikachu

per POSIX:

The setenv() function shall fail if:

[EINVAL] The name argument is a null pointer, points to an empty
string, or points to a string containing an '=' character.

when resolving symbols with only weak defs, use first def, not last def

comment non-obvious de bruijn sequence code in int parser

fix resolution of weak symbols (hopefully right now) and vdso

workaround for gcc's optimizer breaking dynamic symbol resolution

load vdso, if present, into the dso list

const correctness on function pointer

simplify dynamic linker startup

instead of creating temp dso objects on the stack and moving them to
the heap if dlopen/dlsym are used, use static objects to begin with,
and just donate them to malloc if we no longer need them.

some preliminaries for vdso clock support

these changes also make it so clock_gettime(CLOCK_REALTIME, &ts) works
even on pre-2.6 kernels, emulated via the gettimeofday syscall. there
is no cost for the fallback check, as it falls under the error case
that already must be checked for storing the error code in errno, but
which would normally be hidden inside __syscall_ret.

check for fd exhaustion in forkpty

we cannot report failure after forking, so the idea is to ensure prior
to fork that fd 0,1,2 exist. this will prevent dup2 from possibly
hitting a resource limit and failing in the child process. fcntl
rather than dup2 is used prior to forking to avoid race conditions.

incorrect check for open failure in openpty function

-1, not 0, indicates failure

socket headers macro adjustment - workaround for buggy programs

some program was undefining AF_NETLINK and thereby breaking AF_ROUTE...

fix errno value when fdopendir is given an invalid file descriptor

this resolves an issue reported by Vasiliy Kulikov

ensure in fork that child gets its own new robust mutex list

fix logic error in fread

fread was calling f->read without checking that the file was in
reading mode. this could:
1. crash, if f->read was a null pointer
2. cause unwanted blocking on a terminal already at eof
3. allow reading on a write-only file

fix various bugs in new integer parser framework

1. my interpretation of subject sequence definition was wrong. adjust
parser to conform to the standard.

2. some code for handling tail overflow case was missing (forgot to
finish writing it).

3. typo (= instead of ==) caused ERANGE to wrongly behave like EINVAL

fix wcsto[iu]max with high characters

stopping without letting the parser see a stop character prevented
getting a result. so treat all high chars as the null character and
pass them into the parser.

also eliminated ugly tmp var using compound literals.

new restartable integer parsing framework.

this fixes a number of bugs in integer parsing due to lazy haphazard
wrapping, as well as some misinterpretations of the standard. the new
parser is able to work character-at-a-time or on whole strings, making
it easy to support the wide functions without unbounded space for
conversion. it will also be possible to update scanf to use the new
parser.

gb18030 support in iconv (only from, not to)

also support (and restrict to subsets) older chinese sets, and
explicitly refuse to convert to cjk (since there's no code for it yet)

"implement" getnetbyaddr and getnetbyname

these are useless legacy functions but some old software contains
cruft that expects them to exist...

legacy japanese charset support in iconv (only from, not to)

simplify iconv and support more legacy codepages

add missing signalfd flags

printf: "if a precision is specified, the '0' flag shall be ignored."

zero precision with zero value should not inhibit prefix/width printing

printf("%#x",0) should print 0 not 0x0

iconv was not returning -1 on most failure

this broke most uses of iconv in real-world programs, especially
glib's iconv wrappers.

0.7.12 release notes

fix dlopen UB due to longjmp/volatile rules violation

res_search symbol, aliased to res_query for now (better than nothing)

simple rpath support (no token expansion yet) for dynamic linker

fill in junk in stropts.h

STREAMS are utterly useless as far as I can tell, but some software
was apparently broken by the presence of stropts.h but lack of macros
it's supposed to define...

fix error in previous ld80 fpclassify commit

catch invalid ld80 bit patterns and treat them as nan

this should not be necessary - the invalid bit patterns cannot be
created except through type punning. however, some broken gnu software
is passing them to printf and triggering dangerous stack-smashing, so
let's catch them anyway...

fix logic in __fwriting

add and consolidate nasty stdio_ext junk

hopefully this resolves the rest of the issues with hideously
nonportable hacks in programs that use gnulib.

implement the nonstandard GNU function fpurge

this is a really ugly and backwards function, but its presence will
prevent lots of broken gnulib software from trying to define its own
version of fpurge and thereby failing to build or worse.

fix buffer overrun in getgrent code when there are no group members

posix_memalign should fail if size is not a multiple of sizeof(void *)

avoid errors in ucontext.h when no feature test macros are defined

locking support for random() prng

these interfaces are required to be thread-safe even though they are
not state-free. the random number sequence is shared across all
threads.

work around linux bug in mprotect

per POSIX: The mprotect() function shall change the access protections
to be that specified by prot for those whole pages containing any part
of the address space of the process starting at address addr and
continuing for len bytes.

on the other hand, linux mprotect fails with EINVAL if the base
address and/or length is not page-aligned, so we have to align them
before making the syscall.

textrel support, cheap and ugly

release notes for 0.7.11

reclaim the memory wasted by dynamic linking for use by malloc

use type directives for fenv asm functions

use load address from elf header if possible

this is mostly useless for shared libs (though it could help for
prelink-like purposes); the intended use case is for adding support
for calling the dynamic linker directly to run a program, as in:
./libc.so ./a.out foo

this usage is not yet supported.

make dynamic linker relocate the main program image last, after all libs

prior to this change, copy relocations for initialized pointer
variables would not reflect the relocated contents of the pointer.

fix a few bugs from last dynamic linking build system commit

some cruft was left and DESTDIR was not being used correctly.

minor updates to INSTALL documentation

cleanup shared library build system to be more $HOME-local-install friendly

the path for the dynamic linker is now configurable, and failure to
install the symlink for it will not stop the build.

further fixup dlfcn.h

match LSB/glibc constants for dynamic loader

fix stale pointer issue in dynamic linker with dlopen

don't leave the lock held on dlopen failure..

add RTLD_DEFAULT support

in dlopen: don't use null pointer

deps can be null if a library has no dependencies (such as libc itself)

fix resolving symbols in objects loaded in RTLD_LOCAL mode

basically we temporarily make the library and all its dependencies
part of the global namespace but only for the duration of performing
relocations, then return them to their former state.

experimental dlopen/dlsym and dynlink changes needed to support them

type directives for x86_64 math asm

error handling in dynamic linking

some of the code is not yet used, and is in preparation for dlopen
which needs to be able to handle failure loading libraries without
terminating the program.

fix useless use of potentially-uninitialized mode variable in sem_open

eliminate OOB array hacks in malloc

use .type directives for math asm (needed for dynamic linking to work)

fix some symbol resolution issues in dynamic linker

1. search was wrongly beginning with lib itself rather than dso head
2. inconsistent resolution of function pointers for functions in plt

fix dynamic linker issue in musl-gcc wrapper

wordexp cannot use we_offs unless WRDE_DOOFFS flag is set

previously, a potentially-indeterminate value from we_offs was being
used, resulting in wrong we_wordc and subsequent crashes in the
caller.

XSI search.h API implementation by Szabolcs Nagy

handle library paths better (ignore empty path components, etc.)

move all limits that don't vary out of bits/limits.h, into main limits.h

fix possible (questionable) strict aliasing violations and ptr arith

const correctness in mq_notify

why did gcc allow this invalid assignment to compile in the first place?

proper path searching for dynamic linker

first, use $LD_LIBRARY_PATH unless suid. if that fails, read path from
/etc/ld-musl-$ARCH.path and fallback to a builtin default.

optimize opendir using O_CLOEXEC

discard dso descriptors after performing relocations

eventually (once dlopen exists) this behavior will be conditional on
dlopen/dlsym not being reachable.

keep track of which dsos have been relocated

use soname in ld-musl.so to prevent filename appearing in DT_NEEDEDs

use symlink rather than bogus linker script for libc.so

the linker script caused a bogus DT_NEEDED entry

adapt build/install/gcc-wrapper systems for dynamic linking support

prepare support for LD_LIBRARY_PATH (checking suid/sgid safety)

the use of this test will be much stricter than glibc and other
typical implementations; the environment will not be honored
whatsoever unless the program is confirmed non-suid/sgid by the aux
vector the kernel passed in. no fallback to slow syscall-based
checking is used if the kernel fails to provide the information; we
simply assume the worst (suid) in this case and refuse to honor
environment.

initial commit of prng implementation by Szabolcs Nagy