Небольшая заметка "Fun with Capabilities", которая в первую очередь будет полезна атакующей стороне. Из нее можно узнать занимательную информацию про Capabilities при использовании контейнеров, а именно:
1) Using File Capabilities when you’re not root - тут мы получаем ответ на вопрос "Можно ли использовать Capabilities, если мы работаем не из под root?". И ответ, да при условии что можно влиять на формирование образа контейнера! Для этого достаточно в Dockerfile установить для нужного бинаря нужные Capabilities и далее просто его использовать.

RUN setcap 'cap_net_raw,cap_net_bind_service,cap_chown,cap_dac_override,cap_fowner,cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,cap_sys_chroot,cap_mknod,cap_audit_write,cap_setfcap=+ep' /bin/busybox

2) Moving files with Capabilities - нужно учитывать что по умолчанию при копировании таких бинарей с Capabilities, они сами не копируются и это надо делать специальным способом. Можно использовать tar с флагом --xattrs и при распаковке флаг --xattrs-include='security.*'!

Правда для этого потребуется определенная реализация tar и root права ...

P.S. Результаты конкурса объявлю завтра, так что есть время поучаствовать ;)