只要docker容器在本地开发环境中运行，就没有安全问题。因为测试环境是与外部连接隔离的，是无法确定在外部是否完全的。当你的Docker镜像部署在生产环境中时，因为需要处理外部网络访问，安全性自然成为一个问题。
为了预防这个问题，首先需要确保Docker容器所在的主机被修补了最新的安全更新，其次Docker容器中也更新了安全补丁。
所有版本的Docker都容易受到一种竞态条件（race condition）的攻击，这种竞态条件可能使攻击者对主机系统上的任何文件拥有读取权限和写入权限。概念验证代码已发布。
该漏洞类似CVE-2018-15664，它为黑客修改资源路径提供了一个机会窗口，这个机会窗口出现在路径被解析之后，但被分配的程序开始对资源进行操作之前的时间点。这被称为检查时间/使用时间（TOCTOU）类型的漏洞。
该漏洞源于 FollowSymlinkInScope 函数，该函数容易受到基本的TOCTOU攻击的影响。这个函数的目的是如同进程在Docker容器的内部那样对待进程，以一种安全的方式来解析指定的路径。不立即针对解析的路径进行操作，而是“稍微过一段时间进行操作”。攻击者可以推测这个时间差，添加一条符号链接（symlink）路径，该路径可能最终解析拥有root权限的主机。
这可以通过“docker cp”实用程序来实现，该实用程序允许在容器和本地文件系统之间复制内容。
西部数码的容器云是通过docker技术，在集群服务器上部署容器服务实现，安全可靠，拥有上万Linux镜像，功能强大、轻量灵活，可轻松作集群服务，自由轻松搭建私有网络。
高性价比的容器云产品链接 https://www.west.cn/paas/container/
