bug: MkdirAll uses 0o644 for feature directories (missing execute bit)

`devcontainer/devcontainer.go` calls `fs.MkdirAll(featuresDir, 0o644)` and `fs.MkdirAll(featureDir, 0o644)` when creating feature extraction directories. `0o644` is a file permission mask — directories need the execute bit (`0o755`) to be traversable by non-root users.

On the in-memory filesystem used in tests this is harmless, but on a real filesystem it could prevent non-root container users from accessing feature install scripts.

This pre-dates #500 (the feature ordering PR) — the same `0o644` was used in the original code.

### Fix

Change both `MkdirAll` calls to use `0o755`.

> 🤖 Written by a Coder Agent.

Abre devcontainer/devcontainer.go e inspecciona las dos llamadas a fs.MkdirAll que crean los directorios de extracción de características. Cambia ambas máscaras de permisos de directorio a 0o755 y ejecuta después las pruebas existentes que cubren la extracción de características; se considera terminado cuando los directorios se pueden recorrer con usuarios que no sean root en un sistema de archivos real.

Escrito por el modelo de indexación a partir del texto del issue.