Docker Desktop до версии 4.17.0 позволяет непривилегированному пользователю обойти ограничения Enhanced Container Isolation (ECI), установи…

Docker Desktop до версии 4.17.0 позволяет непривилегированному пользователю обойти ограничения Enhanced Container Isolation (ECI), установив хост Docker на docker.raw.sock или npipe:////.pipe/docker_engine_linux в Windows, через флаг CLI -H (--host) или переменную среды DOCKER_HOST, и запускать контейнеры без дополнительных функций защиты, предоставляемых ECI. Это не повлияет на уже запущенные контейнеры или контейнеры, запущенные обычным способом (без необработанного сокета Docker). Затронутая функциональность доступна только для клиентов Docker Business и предполагает среду, в которой пользователям не предоставлены локальные права root или администратора. Эта проблема была исправлена в Docker Desktop 4.17.0. Затронутые версии Docker Desktop: с 4.13.0 до 4.17.0.