Исходное сообщение
"Уязвимость в Docker, позволяющая выбраться из контейнера" Отправлено пох., 29-Май-19 17:54
у тебя есть демон, работает с поднятыми привиллегиями, запускается тем у кого они есть, может самостоятельно после этого сбросить лишние (ему видней, какие на самом деле нужны), no user-serviceable parts inside. И отдельно cli, не требующий лишних прав, общающийся с демоном через лимитированный интерфейс (docker socket). Очевидно, что это и более надежное, и более управляемое (единственная точка входа - сокет, на которую можно аккуратно раздать права кому надо) и более компактное решение, вполне себе, между нами, unixway. Если б еще и работало, цены б ему не было, но тут как всегда. Редгад берет и запихивает это все в юзеро-исполняемую программу чохом. Только потому, что его чудо-система инициализации не может нормально с тем демоном взаимодействовать, и не понимает, работает ли еще контейнер или уже сдох. (хотя это вообще не ее собачье дело, между прочим - но вот перехода в состояние running было бы неплохо и дождаться, если от его работы еще что-то у нас зависит. А опаньки, не обучено оно таким сложным проверкам.)