컨테이너가 호스트의 /var/run/docker.sock을 쓸 수 있을 때 위험은?

1. 1

   Docker API로 호스트 경로를 마운트한 새 컨테이너를 만들어 호스트 수준 제어로 이어질 수 있다.

2. 2

   Docker 소켓을 읽기 전용 파일로 마운트하면 daemon API의 상태 변경 요청도 항상 허용된다.

3. 3

   일반 애플리케이션의 Unix 소켓과 같으므로 컨테이너 생성 권한과는 관계가 없다.

4. 4

   컨테이너 내부 프로세스가 비-root이면 Docker API가 허용한 privileged 생성과 호스트 마운트도 사용할 수 없다.