Omarchy漏洞曝光：每个进程都自带root钥匙，15个月没人发现
内容提要
Omarchy Linux默认将用户加入docker组，导致任何程序可获root权限，该漏洞存在15个月。修复后需手动开启并警告风险，但暴露了安全默认值问题，建议用Podman替代，并提醒用户检查系统安全配置。
延伸解读
默认配置的安全风险
Omarchy将用户加入docker组作为默认行为，这相当于默认授予每个进程root权限。这种“选择退出”而非“选择加入”的设计，让用户在不知情的情况下承担了巨大风险。安全默认值至关重要，任何默认开启的高权限配置都应经过严格审查，并明确告知用户其风险。
开发者机器的攻击价值
开发者机器通常存储大量敏感信息，如SSH密钥、API令牌和源代码凭证，因此成为攻击者的高价值目标。Omarchy的漏洞使得任何普通程序都能轻松获取root权限，一旦开发者机器被攻破，攻击者可能利用这些凭证进一步入侵生产系统或污染软件供应链。
容器并非安全边界
许多人误以为容器提供了安全隔离，但容器主要解决分发和部署的一致性问题，并非安全屏障。Omarchy漏洞正是通过Docker容器实现提权，说明容器内的进程可能逃逸或滥用宿主权限。因此，不应依赖容器作为安全手段，而应关注底层系统的安全配置。
替代方案与修复建议
对于需要运行容器的用户，Podman作为无守护进程的替代方案，默认以rootless模式运行，降低了权限风险。Omarchy已在4.0.1版本中修复该漏洞，但用户应主动检查系统安全配置，更新系统，并审查可能已暴露的敏感凭证。
Q&A
Omarchy漏洞是什么？
Omarchy Linux发行版默认将用户加入docker组，导致任何程序都能通过Docker获得root权限，该漏洞存在约15个月，直到2026年8月才被修复。
为什么加入docker组会导致root权限？
因为Docker守护进程以root身份运行，监听在/var/run/docker.sock的Unix socket上，docker组成员可以与该socket通信，从而启动容器并挂载宿主机文件系统，以root身份执行任意命令，等同于获得root权限。
Omarchy漏洞存在了多久？
该漏洞从2025年6月1日引入，到2026年8月25日修复，存在了将近15个月。
Omarchy漏洞如何修复？
修复方案是默认不再将用户加入docker组，用户如需免sudo Docker需在设置>安全中手动开启并警告风险，已有安装升级时会自动移除用户docker组成员资格。
Omarchy漏洞有什么风险？
任何在用户会话中运行的程序（如浏览器脚本、npm包、AI助手等）都能通过Docker获得root权限，导致整台电脑被完全控制，尤其对开发者而言，可能泄露SSH密钥、API令牌等敏感信息，进而威胁生产系统。
如何避免类似Omarchy的漏洞？
建议使用Podman等无守护进程的容器工具，默认rootless模式，无需root权限；同时不要将用户加入docker组，并定期检查系统安全配置。
