Очень крутой разбор, спасибо за наводки! Часто падают именно на docker.sock – кажется удобным, а потом бац, полный контроль у врага. Главное — не расслабляться и не думать, что контейнеры сами изолируют, потому что контейнерная безопасность — это всегда несколько слоёв и ошибок достаточно, чтоб пробить.