> Для проведения атаки требуется наличие доступа к nftables, который можно получить в отдельном сетевом пространстве имён (network namespaces) при наличии прав CLONE_NEWUSER, CLONE_NEWNS или CLONE_NEWNET (например, при возможности запуска изолированного контейнера).

Как всегда, чтобы получить рута, нужен рут.
(То, что рут в контейнере равен руту на хосте, все и так давно в курсе)