> Да syscall'ы это да... но короче для веб-серверов, машин с ssh-доступом (не
> кому попало) и т.п вроде как такой сценарий атаки не проглядывается.

1) Программа может быть на"№;%на выполнить не то что задумано.
2) Эксплойт может в случае успеха делать все то же что и сама программа.

А самое неприятное во всем этом - ни 1 из существующих ОС не писалась сразу "namespaces in mind". Это донавесили сверху - на то что уже было. И, естественно, поскольку изначально это не предусматривалось, возможно более 9000 странных фокусов которые там или тут сделают не то что думали толи авторы того кода, толи этого. А в конечном итоге контейнер может быть надут довольно большим количеством спосоов. В этом плане полная виртуализация радикальнее, намного меньше способов для гуеста тыкать палочкой хост в непредусмотренном виде. Однако даже так бывают варианты. А вон секурные-типа опенбсдшники не так давно очень конкретно обтекли, когда им прогер из нетбсды мастеркласс дал.