Graças ao comentário do @ frostschutz, o problema parece ser devido ao /sys
ser montado como readonly (ro). Isto ficou evidente através deste comando:
$ cat /proc/mounts |grep sys
sysfs /sys sysfs ro,seclabel,relatime 0 0
none /proc/sys/fs/binfmt_misc binfmt_misc rw,relatime 0 0
Isso parece ser um problema com a janela de encaixe. Eu encontrei este problema intitulado: sysfs entra em modo de somente leitura com rede de host # 7101 . Uma solução para o problema é remontar /sys
read-write (rw) assim:
$ mount -o remount,rw /sys
Olhando os problemas no rastreador de problemas do docker, não está claro se isso está sendo intencionalmente deixado dessa maneira ou não. A solução é boa o suficiente para mim por enquanto, mas isso parece um erro para mim.