User namespaces и file capabilities: очередной побег из контейнера
LWN описывает проблему в ядре Linux, где file capabilities могут вытекать за пределы user namespace. Небольшой патч показывает, что изоляция привилегий всё ещё дырявая. Детали под пейволлом.