> А вместо suid'а на пинг сделать setcap cap_net_raw+ep /bin/ping и получить ping без suid'а но
> работающий под юзером они не осилили?

не осилили. Потому что при проломе (например, через setenv) получается cap_net_raw (и дальше рут через дырки в ядре), а счастливый юзверь даже не увидит что о нем "позаботились" где не надо.
Причем если ты это сделаешь с программой посложнее пинга, станет хуже чем было, потому что штатно-suid программы часто умеют, выполнив необходимый минимум, типа bind(), uid поменять, а вот о твоем авангарде - ни сном, ни духом, и сбросить его не догадаются.

В свое время owl'овцы пытались в полтора рыла улучшить мир, патча-перепатча все подряд на тему, вместо if(geteuid()) { опаньки! }  проверять a) наличие в данной системе capabilities b) наличие у себя расширенных c) правильно их сбрасывать когда перестали быть нужны. Что-то там даже и пропихнулось обратно в апстримы, но это была капля в море. В том числе и потому, что апстримам не нравились линукс-онли патчи.