Container Escape (Évasion de conteneur)

Définition

Une évasion de conteneur, ou container escape, désigne une technique par laquelle un processus malveillant s'exécutant à l'intérieur d'un conteneur Docker ou Kubernetes parvient à franchir les limites de son isolation pour accéder directement au système d'exploitation hôte sous-jacent, compromettant potentiellement l'ensemble des autres conteneurs cohébergés sur la même machine. L'isolation native des conteneurs repose techniquement sur les namespaces Linux, qui cloisonnent la visibilité des processus, du réseau et du système de fichiers, et les cgroups, qui limitent les ressources allouées, mais ces mécanismes ne constituent pas une frontière de sécurité aussi robuste et étanche que celle offerte par une machine virtuelle disposant de son propre noyau isolé, puisque tous les conteneurs d'un même hôte partagent effectivement le même noyau Linux sous-jacent. Les vecteurs d'évasion documentés incluent l'exploitation de vulnérabilités du moteur d'exécution de conteneurs lui-même, comme celles historiquement identifiées dans runc, l'exploitation d'un conteneur lancé en mode privilégié disposant d'un accès quasi complet aux capacités du noyau hôte, le montage non contrôlé du socket Docker à l'intérieur du conteneur permettant de piloter directement le démon hôte, ou l'abus de capacités Linux excessivement accordées. La prévention repose sur le principe du moindre privilège appliqué aux conteneurs, l'usage de profils Seccomp et AppArmor restrictifs, et l'évitement systématique du mode privilégié en production.