Ein kleines C-Programm soll in der Lage sein, aus Docker-Containern auszubrechen. Allerdings funktioniere das nur bis zur Version 0.11, merkt ein Maintainer an.
Sebastian Krahmer nennt sein kleines Proof-of-Concept-Programm Shocker. Baut ein Angreifer es in ein Image ein, welches eine Docker-Instanz dann ausliefert, kann es die Security des Hosts kompromittieren und auf sämtliche Host-Dateien zugreifen.
Die Nachricht machte auf Hacker News schnell die Runde und rief Solomon Hykes auf den Plan, einen der Docker-Maintainer. Er wies darauf hin, dass Shocker in der Docker-Version 1.0, die offiziell für den Unternehmenseinsatz empfohlen ist, nicht mehr funktionieren würde. Allerdings, so Hykes, hätten die Entwickler nie behauptet, dass Container von Hause aus die Security von nicht vertrauenswürdigen Programmen mit Root-Rechten gewährleisten könnten. Solle das eines Tages der Fall sein, würden die Docker-Macher darauf hinweisen.
Wer nun froh sei, von der Sicherheitslücke nicht betroffen zu sein, weil er die Version 1.0 betreibt, müsse laut Hykes vermutlich die Konfiguration seiner Docker-Systeme überdenken und App Armor oder Selinux ergänzen oder gleich den Anwendungen die Root-Rechte entziehen. Auch die neuen User Namespaces, die Docker demnächst unterstütze, böten zwar zusätzliche Sicherheit, seien aber auch keine Wunderwaffe für alle Probleme.
