Omarchy 默认配置致任意进程提权
推荐指数 58.0 NO. 014 · 2026.08.31
发布2026/08/30Score275Comments263
为什么值得看
Omarchy Linux 发行版默认将用户加入 docker 组，导致桌面会话中任意程序无需密码即可获取 root 权限。该漏洞已被修复，用户需立即升级至 4.0.1 版本。
编辑判断
这个漏洞的教训远超 Omarchy 本身。Docker 组等同于 root 是 Linux 容器生态的长期设计债务，许多内部脚本和 CI 配置仍在沿用这一反模式。
如果你管理开发机或内部平台，建议审计所有将用户加入 docker 组的 Ansible/Puppet 配置。替代方案是用 rootless Docker 或 Podman，后者默认无守护进程架构从根本上消除了这类攻击面。
对于 AI 工程团队尤其紧迫：MLOps 流水线常挂载宿主 Docker socket 给训练容器，这种配置在共享 GPU 集群中一旦被突破，攻击者可直通宿主机窃取模型权重或训练数据。
社区反馈
意见分歧 214 条评论
核心争论：Docker 组提权漏洞暴露便利性与安全的根本冲突，社区争论 rootless 方案成熟度
相关内容
Omarchy is not a secure distribution and should be taken off 社区质疑Omarchy安全性，指出其团队虽减少AUR依赖，但仍存在供应链风险问题。 basecamp/omarchy: Beautiful, Modern & Opinionated Linux Omarchy官方仓库，含配置文档及Security章节，可核查默认安全配置详情。 Linux提权手法实践 绿盟科技总结的SUID、sudo、定时任务等Linux提权技术，与Omarchy默认配置漏洞相关。 Linux提权 openEuler社区整理的SUID/sudo/CronJobs提权方法，涉及默认配置不当风险。
Why not use rootless podman? It is 2026 not 2016, Podman works much better than Docker today.
that's what I do and what the author recommends as well
Somehow I doubt DHH and company would be OK sacrificing ""developer experience"" for security... There is still a non-trivial amount of docker-compose files and Docker incantations that don't work 1:1 with podman and podman-compose. Adjusting them would require Omarchy's users underatanding podman,