Container Escape in Docker e Kubernetes: Privilege Escalation

Thu, 26 Feb 2026 00:00:00 +0000

Executive Summary — Il container escape è il processo di uscita da un container (Docker, Kubernetes, Podman, LXC) per ottenere accesso al sistema host sottostante. Nel pentest moderno, compromettere un’applicazione spesso significa finire dentro un container — e da lì il confine tra te e l’host è più sottile di quanto si pensi. Un container “privilegiato”, un socket Docker montato, una capability Linux eccessiva o un kernel non patchato sono tutti vettori per l’escape. In Kubernetes, l’escape da un pod può dare accesso all’intero cluster. Il container escape è il privilege escalation del mondo cloud-native.TL;DR • Container privilegiato (--privileged) = quasi sempre root-equivalente sul nodo: accesso ai device, molte capability abilitate, possibile montare filesystem/namespace dell’host (escape facile se combinato con mount/daemon). • Socket Docker montato (/var/run/docker.sock) = controllo completo del Docker daemon: puoi avviare un container e montare / dell’host, ottenendo accesso al filesystem host. • Capabilities Linux eccessive (CAP_SYS_ADMIN, CAP_SYS_PTRACE, CAP_DAC_READ_SEARCH) = superfici d’attacco extra: mount/namespace abuse, ptrace su processi, bypass letture su file/dir → escape/abusi specifici per capability.

Docker on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

Container Escape in Docker e Kubernetes: Privilege Escalation