Il socket Docker è l'interfaccia di controllo usata per comunicare con il daemon Docker, di solito tramite il socket Unix /var/run/docker.sock. Non è un normale file di dati: le richieste inviate a questo socket possono avviare, arrestare, ispezionare o riconfigurare container, immagini e volumi. Poiché il daemon Docker spesso viene eseguito con privilegi di root, l'accesso al socket può di fatto diventare controllo a livello host.
Nella sicurezza informatica, i socket Docker esposti sono un percorso comune di escalation. Un attaccante che può leggere o scrivere sul socket può avviare un container privilegiato, montare il file system dell'host o eseguire comandi sulla macchina sottostante. Questo può trasformare una piccola presenza all'interno di un container o di un'applicazione di gestione in una compromissione completa del sistema. I difensori riducono il rischio mantenendo il socket fuori dalla rete, evitando mount non necessari del socket nei container, usando configurazioni Docker rootless o con privilegi minimi e controllando in modo rigoroso quali utenti o servizi possono accedervi.