コンテナエスケープ

madhuakula/kubernetes-goat

意図的に脆弱性を持たせたKubernetesクラスター環境で、実践的なセキュリティトレーニングを提供します。コンテナエスケープ、RBACの設定ミス、SSRF、FalcoとTetragonによるランタイムセキュリティをカバーする22以上のシナリオが含まれています。

aquasecurity/trivy

コンテナ、Kubernetes、コードリポジトリ、クラウドなどにおける脆弱性、設定ミス、シークレット、SBOMを発見

liamg/traitor

:arrow_up: :skull_and_crossbones: :fire: 低難度のターゲット（low-hanging fruit）を悪用した自動Linux権限昇格（privesc）、例：gtfobins、pwnkit、dirty pipe、+w docker.sock

agppp/cve-2019-5736-poc

getshell テスト

aquasecurity/kube-hunter

Kubernetesクラスターのセキュリティ上の弱点をハントする

open-policy-agent/opa

Rego言語を使用して、サービス、Kubernetes、Terraform、Docker、APIにわたって認可とポリシー施行を可能にする宣言型ポリシーエンジン。

kata-containers/kata-containers

Kata Containers は、コンテナのように動作し、コンテナと同等の性能を発揮しながら、VM のワークロード分離とセキュリティ上の利点を提供する、軽量仮想マシン（VM）の標準実装の構築に取り組むオープンソースプロジェクトおよびコミュニティです。…

secure-system/insular

ビッグブラザーアプリを隔離しよう https://secure-system.gitlab.io/Insular/

falcosecurity/falco

Linux向けのリアルタイム・クラウドネイティブ・ランタイムセキュリティエージェント。システムコールとコンテナ/Kubernetesのメタデータを監視し、異常な挙動や脅威を検出します。

mishl-dev/cve_2026_31431

CVE-2026-31431 のエクスプロイト。Linux カーネルのページキャッシュ書き込みプリミティブであり、AF_ALG と splice() を介したローカル権限昇格とコンテナエスケープを可能にします。

sgkdev/page_inject

CVE-2026-31431-killed ページキャッシュエクスプロイト — 同じイメージレイヤーを共有するコンテナへのコード実行

perimora/cve_2019-5736-poc

CVE-2019-5736向けCベースのPoC

metarget/k0otkit

k0otkitは、Kubernetesクラスタに対するペネトレーションで使用できる汎用的なポストペネトレーション手法です。

cdk-team/cdk

📦 K8s、Docker、Containerdのセキュリティテストを簡単にします。

stackrox/kube-linter

KubeLinterは、KubernetesのYAMLファイルとHelmチャートを検査し、それらで表現されたアプリケーションがベストプラクティスに準拠していることを確認する静的解析ツールです。

google/gvisor

ユーザースペースのアプリケーションカーネルを介してコンテナをサンドボックス化し、システムコールをインターセプトしてホストカーネルへのアクセスを制限し、OCIランタイムを通じてDocker/Kubernetesと統合します。