永远不要公开 Docker 套接字。时期。

Rackspace 的一位密码学家最近在博客上向所有 Docker 用户发出警告：不要公开 Docker 套接字，即使是对容器。

他写道，许多开发人员认为，当您从容器中获得对 Docker 套接字的写入访问权限时，它并没有有效地为您提供 root 访问权限（确实如此），或者它使您的访问权限仅限于该容器而无法突破（你可以）。

对 Docker 套接字的写入访问权限是主机上的根，无论写入来自何处。这与 Jerome Pettazoni 的 dind 不同，后者为您提供 Docker-in-Docker；我们讨论的是访问主机的 Docker 套接字。

--lvh

他甚至制作了一段视频来展示一位开发人员设置中的缺陷：

相关文章