Docker ソケット攻撃.

/var/run/docker.sock をマウントしたコンテナを悪用して Docker デーモンを操作し、コンテナを脱出してホストの root を奪う攻撃。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

/var/run/docker.sock をマウントしたコンテナを悪用して Docker デーモンを操作し、コンテナを脱出してホストの root を奪う攻撃。

Docker ソケット /var/run/docker.sock は Docker デーモンの認証なしコントロールプレーンで、デーモン自体はホスト上で root として動作します。コンテナがこのソケットをマウントしている場合(CI ランナー、監視エージェント、サイドカーでよく行われます)、内部の任意のプロセスがデーモン API を呼び出せます。攻撃者がそのコンテナを侵害すれば、ホストの / を /host にバインドした特権コンテナを新たに起動して、バックドア設置・/etc/shadow 読み取り・ホストのネットワーク名前空間への切り替えなどが可能です。対策は、信頼できないコンテナへ docker.sock をマウントしない、rootless Docker、mTLS を使った TLS 経由のデーモン公開、sysbox や kaniko などの制限付きブローカ利用です。

Docker ソケット攻撃 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: docker.sock 脱出。