Omarchy的默认Docker配置存在安全漏洞，将用户加入docker组后，任何桌面进程无需密码即可通过Docker套接字获取root权限。该问题已在4.0.1版本中修复，建议用户立即更新。

Omarchy默认Docker配置存在安全漏洞：用户桌面会话中的任何程序都能在没有密码、sudo或权限提示的情况下提权至root。若使用Omarchy，请立即更新至4.0.1版本。

该问题源于Omarchy将默认用户加入Linux的docker组。由于Docker守护进程以root身份运行，docker组成员可通过Docker socket请求守护进程以root权限启动容器、挂载宿主机文件系统并执行代码。这意味着默认用户及其所有子进程（包括AI编码代理、浏览器、编辑器、npm脚本等）均能获取root权限。

此配置为默认启用（用户需主动退出而非加入），且文档描述存在误导——"以普通用户而非root身份运行Docker"易被误解为无根模式，实则相反。受影响版本为4.0.1之前的所有版本（含3.8.4）。该漏洞于2025年6月引入，2026年8月修复。

开发者机器因常禁用安全防护、明文存储凭证而成为高价值攻击目标。建议使用无守护进程的Podman替代Docker，其容器以普通用户命名空间子进程运行，无需root权限。

根据评论内容，总结如下：

主要观点与论据：

1. 批评Omarchy默认将用户加入docker组（高风险配置）（评分：无，但多篇评论强烈反对）

   • 评论8：指出Docker文档明确说明此操作不安全，质疑为何默认如此配置。
   • 评论5：认为默认安装Docker“完全疯狂”，建议使用rootless Podman。
   • 评论1：建议改用rootless Podman，称其比Docker更优。

2. 认为该漏洞对桌面系统影响有限（评分：无，部分评论持此观点）

   • 评论6：指出访问用户主目录比提权更严重，且获取密码即可提权。
   • 评论10：认为Linux缺乏桌面沙箱架构，恶意程序可轻易控制用户环境，root权限并非关键。
   • 评论11：认为现代桌面系统中，root权限不如用户凭证（如Git、数据库密码）重要。

3. 质疑Omarchy作为“vibecoded”发行版的可靠性（评分：无，多篇评论批评）

   • 评论13：指出该发行版存在其他安全问题（如USB描述符直接注入shell），建议不要使用。
   • 评论16：称其为“vibecoded发行版”，暗示质量低劣。
   • 评论9：提醒不要盲目跟风媒体炒作的新发行版，建议直接使用Arch Linux。

4. 建议使用更安全的替代方案（评分：无，部分评论推荐）

   • 评论1、5：推荐rootless Podman。
   • 评论4：建议在虚拟机中运行Docker（类似macOS做法）。
   • 评论9、6：推荐直接安装Arch Linux（使用archinstall工具）。

平衡性总结： - 多数评论批评Omarchy的默认配置不安全，并质疑其整体质量。 - 少数评论认为该漏洞在桌面环境下影响有限，或指出Linux系统本身存在更根本的安全问题。 - 部分评论推荐使用更安全的替代方案（如Podman、虚拟机、Arch Linux）。