一篇针对 Omarchy 发行版的安全披露：其默认把用户加入 Linux 的 docker 组，而 docker 组本身就等价于 root 权限。由于 Docker 守护进程以 root 运行并监听 /var/run/docker.sock，组成员可借 docker run 挂载主机文件系统并以 root 执行任意代码。这个默认配置是「opt-out」而非「opt-in」，用户未被告知权衡，文档中「run Docker as the normal user and not as root」的描述还极易误导人以为采用了 rootless 模式。受影响版本为 4.0.1 之前，现已被移除该配置修复。
核心要点
docker 组授予 root 权限，成员可任意操作 Docker 守护进程
攻击者可通过 docker run -v /:/hostroot 读取 /etc/shadow 等任意文件