> Можно здесь подробнее?

Отвечать вместо него будет 294-й. Технически, у всех систем одно ядро, поэтому в принципе софт работающий в VZ контейнере может попытаться отдать ядру что-нибудь неудобоваримое в системных вызовах, etc. Если это получится - есть шансы получить полные права на хосте и дальше делать что угодно. Прецеденты сплойтов пробивающих OpenVZ - науке известны. В этом плане полная виртуализация несколько надежнее - там системные вызовы локальное ядро разруливает, ломать которое смысла мало. А гипервизор получается по сути лишь низкоуровневый арбитр ресурсов, поломать который по идее сложнее. Хотя практические примеры пробития например, Xen - также науке известны. Однако более хорошая изоляция означает и более серьезный оверхед. А попытки снизить оверхед могут опять же привести к проблемам с изоляцией (в virtio и т.п. тоже веселые баги порой случаются).