Docker socket escape

docker -H unix:///var/run/docker.sock run -v /:/mnt --rm -it alpine chroot /mnt sh

Se o socket do Docker (/var/run/docker.sock) estiver acessível para o seu usuário, você é root do host: monte o filesystem raiz em um contêiner alpine e faça chroot para operar diretamente sobre o sistema do host.

Quando você encontra o socket do Docker com permissões de escrita para o seu usuário (grupo docker ou permissões 666). É uma das escaladas mais silenciosas que existem: o socket não gera logs do kernel e o contêiner é efêmero com --rm. A partir do chroot, você pode ler shadow, montar persistência ou implantar um contêiner com mais alcance.

Se o socket estiver protegido (permissões 660 com grupo restrito) ou o daemon escutar apenas em TCP com TLS, você não tem acesso. Também não use se o host montar o socket dentro de contêineres com user namespaces: o acesso ao socket nem sempre implica root total no host.