Non, quand je parle de faille, c'est au sens général, pas du noyau.
Un OS de routeur à une politique du "tout fermé", la c'est plutôt "tout ouvert"
La moindre erreur de configuration et c'est open bar.
Aussi bien sur l’hôte que sur le docker, vu qu'ils sont imbriqués, qu'il n'y a pas d'isolation et que docker à des privilèges .
Et niveau configuration cette option doit être plutôt complexe car il faut penser à toutes les éventualités.

[...]
pour ce que je comprend, vous êtes en frontale sur internet, sans le pare feu de la livebox, (même si je ne sais pas ce qu'il fait).
[...]

En fait ça change rien. Une livebox a deux fonctions majeures :
1 - router les paquets de ta famille vers Internet et le trafic réciproque (le camionneur)
2 - filtrer et lessiver les paquets entrants et sortant (la concierge)
3 - des bricoles comme la téloche et le téléphone. On en parlera pas c'est juste des applications au dessus des 2 autres fonctions primaires.

Le docker proposé réalise les même fonctions principales.

Que ce soit une livebox ou un docker : y a un système d'exploitation pour lancer les applications de routage ou de lessivage. De base un Unix c'est une brique. Tu peux le mettre dans l'acideˆw sur Internet il ne se passe rien. Faut des drivers, ouvrir des choses, écouter sur une carte réseau, monter les paquets dans la pile IP, laver les paquets dans la lessiveuse, you put it in the water, you wash it you wash it, you rince, Hm it smells like a flower YOU PUT IT in the water si ça smell pas bon pour le noyer pour de bon.

Et corollaire : on peut parfaitement remplacer la livebox par n'importe quel bousin qui fait la même chose et parle de façon compréhensible à Orange et Internet.

Non, quand je parle de faille, c'est au sens général, pas du noyau.
Un OS de routeur à une politique du "tout fermé", la c'est plutôt "tout ouvert"
[...]

L'OS a zéro politique c'est la pile IP -augmentée- d'une application de lavage de paquet qui le permet (nftable, ipfw, pf...). Par defaut la pile IP y a rien qui écoute sur le port bah c'est une brique elle répond sauf contre ordre un ICMP port unreach.

Après pour aller dans le docker faut quand même traverser l'OS + les drivers et la pile IP de l'hôte et oui si y a une vulnérabilité bah bobo au popotin. Juste que ça sera un vlan ou une interface réseau dédiée qui rentrera dans le docker. Oui l'hôte a son propre firewall/filtrage aussi. Et c'est des portions de code tellement utilisée et déboqguée... qu 'on est plus à l'âge de faire tomber des ciscos avec un ping de la mort.


On sait deja que la livebox embarque des gros morceaux de Linux, comme d'autres box de FAI. On a vu au début du conflit en Ukraine une attaque qui a briqué des box satellites. Effectivement tout reste possible en terme de sécu.