Verwenden der Azure Kubernetes Service (AKS) Sicherheitsrisikodaten-API

Die AKS-Daten-API bietet Ihnen programmgesteuerte, schreibgeschützte Einblicke in Sicherheitsrisiken, die in AKS-verwalteten Plattformkomponenten erkannt wurden. Diese API ist für Sicherheitsteams, Complianceteams und Plattformbesitzer gedacht, die autoritative Informationen zu Sicherheitsrisiken benötigen, die sich auf AKS-verwaltete Artefakte unabhängig von einem bestimmten Clusterlaufzeitzustand auswirken.

In diesem Artikel erfahren Sie, wie Sie die AKS-Daten-API zum programmgesteuerten Abrufen von CVE-Berichten für AKS-verwaltete Artefakte verwenden, einschließlich AKS-Versionen, Kubernetes-Versionen, Knotenimages, Containerimages und Betriebssystempakete. Es enthält Beispiele für API-Anforderungen und veranschaulicht, wie die Antworten interpretiert werden, um eine umfangreiche CVE-Analyse, Automatisierung und Korrelation mit Sicherheitsscannerergebnissen zu unterstützen. Eine Übersicht über die Konzepte hinter der API finden Sie unter Vulnerability Data API für Azure Kubernetes Service (AKS) Übersicht.

Abfrage von CVE-Berichten

Die folgenden Beispiele veranschaulichen, wie Sie die AKS Vulnerability Data API abfragen, um CVE-Berichte für AKS-Releases, Kubernetes-Versionen, Knotenabbilder, Containerabbilder und Betriebssystempakete abzurufen.

CVEs für eine AKS-Veröffentlichung abfragen

# 1. List available AKS releases
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/_index | jq '.aks_release_versions'

# 2. Get CVE report for a specific release
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/v20260104/scan-reports | jq '.'

CVEs für eine Kubernetes-Version abfragen

# 1. List available Kubernetes versions
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/_index | jq '.k8s_versions'

# 2. Get CVE report for a specific Kubernetes version
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/1.32.9/scan-reports | jq '.'

CVEs für ein Knotenimage (VHD) abfragen

# 1. List available VHD releases
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/_index | jq '.vhd_release_versions'

# 2. Get CVE report for a specific VHD
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/AKSUbuntu-gen2-2204containerd/202601.13.0/scan-reports | jq '.'

CVEs für ein bestimmtes Container-Image abfragen

# Get CVE scan report for a specific tagged container image
curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11/scan-reports | jq '.'

# Get CVE mitigation history for a container image repository
curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy/mitigation-reports | jq '.'

CVEs für ein bestimmtes Betriebssystempaket abfragen

# Get CVE scan report for a specific OS package version
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/3.0.2-0ubuntu1.20/scan-reports | jq '.'

# Get CVE mitigation history for an OS package
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/mitigation-reports | jq '.'

Endpunkte

Die AKS-API für Schwachstellendaten stellt Endpunkte zum Abrufen von CVE-Berichten für AKS-Releases, Kubernetes-Versionen, Knoten-Images, Container-Images und Betriebssystempakete bereit. Jeder Endpunkt bietet Zugriff auf einen Index der verfügbaren Versionen oder einen detaillierten Scanbericht für eine bestimmte Version oder ein Artefakt. In den folgenden Abschnitten werden die einzelnen Endpunkte, die verfügbaren Vorgänge und die erwarteten Anforderungs- und Antwortformate beschrieben.

AKS-Releases

Abrufen des AKS-Versionsindex

Der folgende Endpunkt gibt einen Index aller AKS-Versionsversionen mit verfügbaren CVE-Berichten zurück:

GET /api/v1/aks-releases/_index

Beispielanforderung:

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/_index

Beispielantwort:

{
  "aks_release_versions": [
    "v20250427",
    "v20250519",
    "v20250617",
    "v20250720",
    "v20250808",
    "v20250829",
    "v20250921",
    "v20251012",
    "v20260104"
  ],
  "report_time": "2026-01-27T16:19:36.181877605Z"
}

Antwortfelder:

Feld Typ Beschreibung
aks_release_versions string[] Verfügbare AKS-Versionsversionen, chronologisch sortiert
report_time Zeichenfolge (ISO 8601) Wann dieser Index zuletzt generiert wurde

CVE-Bericht für AKS-Veröffentlichungen abrufen

Der folgende Endpunkt gibt einen detaillierten CVE-Bericht für eine bestimmte AKS-Veröffentlichungsversion zurück, einschließlich aller Container-Images in System-Namespaces, ihrer aktiven CVEs und der Differenz der CVEs im Vergleich zur vorherigen Veröffentlichung:

GET /api/v1/aks-releases/{version}/scan-reports

Pfadparameter:

Parameter Typ Beschreibung Example
version Schnur AKS-Veröffentlichungsversion aus dem Index v20260104

Beispielanforderung:

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/v20260104/scan-reports

Beispielantwort (abgekürzt):

{
  "aks_release_version": "v20260104",
  "previous_aks_release_version": "v20251012",
  "container_targets": [
    {
      "pod_namespace": "kube-system",
      "container_name": "coredns",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/oss/v2/kubernetes/coredns:v1.9.4-9"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/oss/v2/kubernetes/coredns:v1.9.4-9@sha256:718de5d12a..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2025-47914"},
        {"id": "CVE-2025-58181"},
        {"id": "CVE-2025-61727"},
        {"id": "CVE-2025-61729"}
      ],
      "removed_container_images_from_previous_release": {
        "image_repo_tags": [],
        "image_repo_digests": []
      },
      "mitigated_cves_from_previous_release": []
    },
    {
      "pod_namespace": "gatekeeper-system",
      "container_name": "azure-policy-audit",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.15.3"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.15.3@sha256:67745758..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2025-61727"},
        {"id": "CVE-2025-61729"}
      ],
      "removed_container_images_from_previous_release": {
        "image_repo_tags": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.14.2"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.14.2@sha256:33218f96..."
        ]
      },
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2025-47912"},
        {"id": "CVE-2025-47914"},
        {"id": "CVE-2025-58181"}
      ]
    }
  ],
  "report_time": "2026-01-27T16:19:36.181877605Z"
}

Antwortfelder:

Feld Typ Beschreibung
aks_release_version Schnur Aktuelle AKS-Releaseversion
previous_aks_release_version Schnur Frühere Version (für Deltaberechnungen verwendet)
container_targets AKSReleaseContainerTarget[] Alle Containerkomponenten in dieser Version
report_time Zeichenfolge (ISO 8601) Zeitstempel der Berichtsgenerierung

Kubernetes-Versionsveröffentlichungen

Kubernetes Versionsindex abrufen

Der folgende Endpunkt gibt einen Index aller Kubernetes-Versionen mit verfügbaren CVE-Berichten zurück:

GET /api/v1/aks-k8s-releases/_index

Beispielanforderung:

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/_index

Beispielantwort:

{
  "k8s_versions": [
    "1.27.102",
    "1.27.103",
    "1.28.100",
    "1.29.14",
    "1.30.0",
    "1.30.14",
    "1.31.1",
    "1.32.0",
    "1.32.10",
    "1.33.0",
    "1.33.6",
    "1.34.0",
    "1.34.2"
  ],
  "report_time": "2026-01-27T16:14:37.928201259Z"
}

Antwortfelder:

Feld Typ Beschreibung
k8s_versions string[] Verfügbare Kubernetes-Versionen, sortiert nach Semver
report_time Zeichenfolge (ISO 8601) Wann dieser Index zuletzt generiert wurde

CVE-Bericht für die Kubernetes-Version abrufen

Der folgende Endpunkt gibt den CVE-Bericht für eine bestimmte Kubernetes-Version zurück, in dem Sicherheitsrisiken in den Containerimages beschrieben werden, die von den wichtigsten Kubernetes-Komponenten und AKS-Add-Ons für diese Version verwendet werden:

GET /api/v1/aks-k8s-releases/{version}/scan-reports

Pfadparameter:

Parameter Typ Beschreibung Example
version Schnur Kubernetes-Version aus dem Index 1.33.2

Beispielanforderung:

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/1.33.2/scan-reports

Beispielantwort (abgekürzt):

{
  "k8s_version": "1.33.2",
  "container_targets": [
    {
      "container_image": "mcr.microsoft.com/oss/kubernetes/kube-apiserver",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/oss/kubernetes/kube-apiserver:v1.33.2"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/oss/kubernetes/kube-apiserver:v1.33.2@sha256:abc123..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2025-47912"},
        {"id": "CVE-2025-58181"}
      ]
    },
    {
      "container_image": "mcr.microsoft.com/aks/aks-app-routing-operator",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/aks/aks-app-routing-operator:0.0.3"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/aks/aks-app-routing-operator:0.0.3@sha256:c1ff16ca..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2023-39318"},
        {"id": "CVE-2023-39319"},
        {"id": "CVE-2023-39325"}
      ]
    }
  ],
  "report_time": "2026-01-27T16:14:37.928201259Z"
}

Antwortfelder:

Feld Typ Beschreibung
k8s_version Schnur Kubernetes-Version (z. B "1.33.2". )
container_targets AKSK8SContainerTarget[] Containerimages für diese Kubernetess-Version
report_time Zeichenfolge (ISO 8601) Zeitstempel der Berichtsgenerierung

VHD-Veröffentlichungen (Knoten-Image)

VHD-Veröffentlichungsindex abrufen

Der folgende Endpunkt gibt einen Index aller VHD-Versionen mit verfügbaren CVE-Berichten zurück:

GET /api/v1/vhd-releases/_index

Beispielanforderung:

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/_index

Beispielantwort (abgekürzt):

{
  "vhd_release_versions": [
    "AKSAzureLinux-gen1/202507.02.0",
    "AKSAzureLinux-gen2/202512.06.0",
    "AKSAzureLinux-gen2fips/202510.03.0",
    "AKSAzureLinuxV3-gen2/202511.20.0",
    "AKSCBLMarinerV2-gen2/202508.20.0",
    "AKSUbuntu-gen1-2204containerd/202601.13.0",
    "AKSUbuntu-gen2-2404containerd/202601.13.0"
  ],
  "report_time": "2026-01-27T16:21:23.056129543Z"
}

Antwortfelder:

Feld Typ Beschreibung
vhd_release_versions string[] Verfügbare VHD-Versionen im {distro}/{version} Format
report_time Zeichenfolge (ISO 8601) Wann dieser Index zuletzt generiert wurde

Verfügbare Distros:

Distro-Präfix Beschreibung
AKSAzureLinux-gen1 Azure Linux V2, Generation 1
AKSAzureLinux-gen2 Azure Linux V2, Generation 2
AKSAzureLinux-gen1fips Azure Linux V2, Gen 1, FIPS-fähig
AKSAzureLinux-gen2fips Azure Linux V2, Gen 2, FIPS aktiviert
AKSAzureLinux-gen2kata Azure Linux V2, Gen 2, Kata Containers
AKSAzureLinux-gen2tl Azure Linux V2, Gen 2, TL Variante
AKSAzureLinuxV3-gen1 Azure Linux V3, Generation 1
AKSAzureLinuxV3-gen2 Azure Linux V3, Generation 2
AKSAzureLinuxV3-gen1fips Azure Linux V3, Gen 1, FIPS-fähig
AKSAzureLinuxV3-gen2fips Azure Linux V3, Gen 2, FIPS-fähig
AKSAzureLinuxV3-gen2tl Azure Linux V3, Gen 2, TL Variante
AKSCBLMarinerV2-gen1 CBL-Mariner V2, Generation 1
AKSCBLMarinerV2-gen2 CBL-Mariner V2, Generation 2
AKSCBLMarinerV2-gen1fips CBL-Mariner V2, Gen 1, FIPS-fähig
AKSCBLMarinerV2-gen2fips CBL-Mariner V2, Gen 2, FIPS aktiviert
AKSCBLMarinerV2-gen2kata CBL-Mariner V2, Gen 2, Kata-Container
AKSCBLMarinerV2-gen2tl CBL-Mariner V2, Gen 2, TL Variante
AKSUbuntu-gen1-2004fipscontainerd Ubuntu 20.04, Gen 1, FIPS
AKSUbuntu-gen1-2204containerd Ubuntu 22.04, Generation 1
AKSUbuntu-gen1-2404containerd Ubuntu 24.04, Generation 1
AKSUbuntu-gen2-2004cvmcontainerd Ubuntu 20.04, Gen 2, Vertraulicher virtueller Computer
AKSUbuntu-gen2-2004fipscontainerd Ubuntu 20.04, Gen 2, FIPS
AKSUbuntu-gen2-2204containerd Ubuntu 22.04, Generation 2
AKSUbuntu-gen2-2404containerd Ubuntu 24.04, Generation 2
AKSUbuntu-gen2-2204tlcontainerd Ubuntu 22.04, Gen 2, TL Variante
AKSUbuntu-gen2-2404tlcontainerd Ubuntu 24.04, Gen 2, TL Variante

CVE-Bericht für VHD-Veröffentlichungen abrufen

Der folgende Endpunkt gibt den CVE-Bericht für eine bestimmte VHD-Version zurück, einschließlich der Betriebssystempakete und Containerimages, die in dieser Version enthalten sind:

GET /api/v1/vhd-releases/{distro}/{version}/scan-reports

Pfadparameter:

Parameter Typ Beschreibung Example
distro Schnur Linux-Verteilungs-ID AKSUbuntu-gen2-2204containerd
version Schnur VHD-Veröffentlichungsversion 202601.13.0

Beispielanforderung:

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/AKSUbuntu-gen2-2204containerd/202601.13.0/scan-reports

Beispielantwort (abgekürzt):

{
  "distro_name": "AKSUbuntu/gen2/2204containerd",
  "vhd_release_version": "202601.13.0",
  "previous_vhd_release_version": "202512.06.0",
  "os_package_targets": [
    {
      "name": "libtasn1-6",
      "version": "4.18.0-4ubuntu0.2",
      "active_cves": [],
      "previous_version": "4.18.0-4ubuntu0.1",
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2021-46848"},
        {"id": "CVE-2025-13151"}
      ]
    },
    {
      "name": "python3.10",
      "version": "3.10.12-1~22.04.13",
      "active_cves": [],
      "previous_version": "3.10.12-1~22.04.12",
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2025-13836"}
      ]
    }
  ],
  "container_targets": [
    {
      "container_image": "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.1-main-11-14-2025-15146744-cfg"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.1-main-11-14-2025-15146744-cfg@sha256:6ce08d12..."
        ]
      },
      "active_cves": [],
      "removed_container_images_from_previous_release": {
        "image_repo_tags": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.0-main-10-20-2025-fe8f6d51-targetallocator"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.0-main-10-20-2025-fe8f6d51-targetallocator@sha256:314e20ca..."
        ]
      },
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2025-47914"},
        {"id": "CVE-2025-4802"},
        {"id": "CVE-2025-58181"},
        {"id": "CVE-2025-61727"},
        {"id": "CVE-2025-61729"}
      ]
    }
  ],
  "report_time": "2026-01-27T16:21:23.056129543Z"
}

Antwortfelder:

Feld Typ Beschreibung
distro_name Schnur Linux-Verteilungsname (z. B "AKSAzureLinux/gen2". )
vhd_release_version Schnur Aktuelle VHD-Version
previous_vhd_release_version Schnur Vorherige VHD-Releaseversion
os_package_targets AKSVHDOSPackageTarget[] Betriebssystempakete in dieser VHD
container_targets AKSVHDContainerTarget[] In dieser VHD enthaltene Container-Images
report_time Zeichenfolge (ISO 8601) Zeitstempel der Berichtsgenerierung

Container-Abbilder

Die Endpunkte für Container-Images stellen für einzelne Container-Images CVE-Überprüfungs-Berichte pro Image sowie eine veröffentlichungsübergreifende Nachverfolgung von Gegenmaßnahmen bereit. Diese Endpunkte verfügen nicht über eine _index Auflistung. Sie navigieren nach dem vollständigen Bildpfad.

CVE-Scanbericht für Container-Images abrufen

Der folgende Endpunkt ruft einen CVE-Scanbericht für ein bestimmtes Containerimage ab, das durch seinen vollständigen Imagepfad und -tag identifiziert wird:

GET /api/v1/container-images/{image}:{tag}/scan-reports

Pfadparameter:

Parameter Typ Beschreibung Example
image Schnur Vollständiger Bildname einschließlich Registrierung mcr.microsoft.com/oss/kubernetes/kube-proxy
tag Schnur Bildmarkierung v1.31.11

Beispielanforderung:

curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11/scan-reports

Beispielantwort (abgekürzt):

{
  "image_repo_tags": [
    "mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11"
  ],
  "image_repo_digests": [
    "mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11@sha256:abc123..."
  ],
  "report_time": "2026-02-20T16:12:42.081442479Z",
  "active_cves": [
    {
      "scanner": {
        "name": "trivy",
        "version": "0.69.1"
      },
      "cves": [
        {"id": "CVE-2024-13176"},
        {"id": "CVE-2025-47914"}
      ]
    }
  ]
}

Antwortfelder:

Feld Typ Beschreibung
image_repo_tags string[] Bildtags für das gescannte Bild
image_repo_digests string[] Image-Digests für alle unterstützten Plattformen
report_time Zeichenfolge (ISO 8601) Zeitstempel der Berichtsgenerierung
active_cves CVEList[] Aktive CVEs gruppiert nach Scanner

CVE-Abhilfemaßnahmenbericht für Container-Images abrufen

Der folgende Endpunkt ruft einen Bericht zur CVE-Behebung für ein bestimmtes Container-Image-Repository ab und zeigt, welche CVEs in welchen Komponentenversionen und Releases auftraten und in welchen Versionen und Releases sie behoben wurden:

GET /api/v1/container-images/{image}/mitigation-reports

Pfadparameter:

Parameter Typ Beschreibung Example
image Schnur Vollständiger Image-Name mit Registrierung (ohne Tag) mcr.microsoft.com/oss/kubernetes/kube-proxy

Beispielanforderung:

curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy/mitigation-reports

Beispielantwort (abgekürzt):

{
  "container_image": "mcr.microsoft.com/oss/kubernetes/kube-proxy",
  "mitigations": [
    {
      "cve": {"id": "CVE-2023-2253"},
      "seen_in_component_versions": ["v1.27.102-akslts"],
      "seen_in_aks_release_versions": [],
      "seen_in_aks_k8s_release_versions": [],
      "seen_in_vhd_release_versions": ["AKSAzureLinux-gen1/202507.02.0"],
      "mitigated_in_component_versions": [],
      "mitigated_in_aks_release_versions": [],
      "mitigated_in_aks_k8s_release_versions": [],
      "mitigated_in_vhd_release_versions": []
    }
  ]
}

Antwortfelder:

Feld Typ Beschreibung
container_image Schnur Bildname ohne Tag
mitigations CVEMitigation[] CVE-Abhilfeeinträge für dieses Image

VHD-Betriebssystempakete

Die VHD-Betriebssystempaketendpunkte stellen pro Paket CVE-Überprüfungsberichte und veröffentlichungsübergreifende Risikominderungsnachverfolgung für einzelne Betriebssystempakete bereit, die in VHD-Knotenimages installiert sind. Diese Endpunkte haben keine _index Auflistung; Sie navigieren über den Paketnamen.

CVE-Scanbericht für das VHD-OS-Paket abrufen

Der folgende Endpunkt ruft einen CVE-Überprüfungsbericht für die Version eines bestimmten Betriebssystempakets ab, das in VHD-Knoten-Images installiert ist:

GET /api/v1/vhd-packages/{name}/{version}/scan-reports

Pfadparameter:

Parameter Typ Beschreibung Example
name Schnur Name des Betriebssystempakets (Kleinbuchstabe) openssl
version Schnur Paketversion 3.0.2-0ubuntu1.20

Beispielanforderung:

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/3.0.2-0ubuntu1.20/scan-reports

Beispielantwort:

{
  "name": "openssl",
  "version": "3.0.2-0ubuntu1.20",
  "active_cves": [
    {"id": "CVE-2025-15467"},
    {"id": "CVE-2025-68160"}
  ],
  "report_time": "2026-02-20T16:14:09.253455099Z"
}

Antwortfelder:

Feld Typ Beschreibung
name Schnur Paketname
version Schnur Paketversion
active_cves CVE[] Aktive CVEs mit verfügbaren Behebungen
report_time Zeichenfolge (ISO 8601) Zeitstempel der Berichtsgenerierung

Bericht zur CVE-Risikominderung für das VHD-OS-Paket abrufen

Der folgende Endpunkt ruft einen CVE-Entschärfungsbericht für ein bestimmtes Betriebssystempaket ab und zeigt an, welche CVEs in welchen Paketversionen und VHD-Versionen angezeigt wurden und in welchen Versionen sie abgemildert wurden:

GET /api/v1/vhd-packages/{name}/mitigation-reports

Pfadparameter:

Parameter Typ Beschreibung Example
name Schnur Name des Betriebssystempakets (Kleinbuchstabe) openssl

Beispielanforderung:

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/mitigation-reports

Beispielantwort (abgekürzt):

{
  "package_name": "openssl",
  "mitigations": [
    {
      "cve": {"id": "CVE-2025-15467"},
      "seen_in_component_versions": ["3.3.3-2.azl3", "3.3.3-3.azl3"],
      "seen_in_aks_release_versions": [],
      "seen_in_aks_k8s_release_versions": [],
      "seen_in_vhd_release_versions": ["AKSAzureLinuxV3-gen1/202507.02.0"],
      "mitigated_in_component_versions": [],
      "mitigated_in_aks_release_versions": [],
      "mitigated_in_aks_k8s_release_versions": [],
      "mitigated_in_vhd_release_versions": []
    }
  ]
}

Antwortfelder:

Feld Typ Beschreibung
package_name Schnur Name des Betriebssystempakets
mitigations CVEMitigation[] CVE-Entschärfungseinträge für dieses Paket

Datenmodelle

In den folgenden Abschnitten werden die von der AKS-Sicherheitsrisikodaten-API zurückgegebenen Datenmodelle beschrieben, einschließlich der Struktur der CVE-Einträge, Containerimageverweise, AKS-Releasekomponenten, VHD-Betriebssystempakete und deren Beziehungen.

CVE

Das Datenmodell CVE ist eine Kennung für „Common Vulnerabilities and Exposures“.

Feld Typ Beschreibung
id Schnur CVE-Bezeichner (z. B. "CVE-2024-13176", "GHSA-2464-8j7c-4cjm")

ContainerImages

Das ContainerImages-Datenmodell repräsentiert eine Menge von Verweisen auf Container-Images, einschließlich sowohl menschenlesbarer Tags als auch inhaltsadressierbarer Digests.

Feld Typ Beschreibung
image_repo_tags string[] Bildtags (z. B "mcr.microsoft.com/oss/kubernetes/coredns:v1.9.4-9". )
image_repo_digests string[] Image-Digests für alle unterstützten Plattformen (z. B. "mcr.microsoft.com/oss/kubernetes/coredns:v1.9.4-9@sha256:abc...")

Note

Digests umfassen alle Linux-Plattformvarianten (amd64, arm64) aus Multi-Arch-Manifesten. Dies ermöglicht das Abgleichen von CVE-Daten, unabhängig davon, welche plattformspezifische Digest Ihr Knoten abgerufen hat.

AKSReleaseContainerTarget

Das AKSReleaseContainerTarget-Datenmodell stellt eine Containerkomponente innerhalb eines bestimmten AKS-Release dar, die durch den Pod-Namespace und den Containernamen, unter denen sie ausgeführt wird, sowie durch die von ihr verwendeten Container-Images und die CVEs, die sie betreffen, identifiziert wird.

Feld Typ Beschreibung
pod_namespace Schnur Kubernetes-Namespace (z. B., "kube-system", "calico-system")
container_name Schnur Name des Containers (zum Beispiel "coredns", "calico-node")
active_container_images ContainerImages Derzeit für diese Komponente ausgeführte Container-Images
active_cves CVE[] CVEs mit verfügbaren Behebungen, die diese Komponente derzeit betreffen
removed_container_images_from_previous_release ContainerImages Images, die in der vorherigen Veröffentlichung vorhanden waren, aber nicht mehr ausgeführt werden
mitigated_cves_from_previous_release CVE[] CVEs, die in der vorherigen Veröffentlichung vorhanden waren, aber in dieser Veröffentlichung behoben wurden

AKSK8SContainerTarget

Das Datenmodell AKSK8SContainerTarget stellt ein Containerimage dar, das einer bestimmten Kubernetes-Version zugeordnet ist, einschließlich der getaggten Imageverweise und Digests für dieses Image sowie der CVEs, die dieses Image betreffen.

Feld Typ Beschreibung
container_image Schnur Bildname ohne Tag (z. B "mcr.microsoft.com/oss/kubernetes/kube-apiserver". )
active_container_images ContainerImages Markierte Bildverweise und Digests
active_cves CVE[] Aktive CVEs mit verfügbaren Behebungen

AKSVHDContainerTarget

Das AKSVHDContainerTarget-Datenmodell stellt ein Containerimage dar, das in einem VHD-Knotenimage enthalten ist, sowie die markierten Bildverweise, Digests und CVEs, die sich darauf auswirken.

Feld Typ Beschreibung
container_image Schnur Bildname ohne Tag
active_container_images ContainerImages Markierte Bildverweise und Digests
active_cves CVE[] Aktive CVEs mit verfügbaren Behebungen
removed_container_images_from_previous_release ContainerImages Bilder wurden seit der vorherigen VHD-Version entfernt
mitigated_cves_from_previous_release CVE[] CVEs wurden seit der vorherigen VHD-Veröffentlichung behoben

AKSVHDOSPackageTarget

Das AKSVHDOSPackageTarget-Datenmodell stellt ein Paket auf Betriebssystemebene dar, das in einem VHD-Knotenimage installiert ist, zusammen mit der installierten Version, den CVEs, die es betreffen, und alle Änderungen aus der vorherigen VHD-Version.

Feld Typ Beschreibung
name Schnur Paketname (z. B. "kernel", "containerd", "systemd")
version Schnur Paketversion (z. B "6.1.109.2-1.cm2". )
active_cves CVE[] Aktive CVEs mit verfügbaren Behebungen
previous_version Schnur Version aus der vorherigen VHD-Version (leer, falls nicht geändert)
mitigated_cves_from_previous_release CVE[] CVEs wurden seit der vorherigen VHD-Veröffentlichung behoben

CVEScanner

Das CVEScanner-Datenmodell stellt die Metadaten für einen Sicherheitsrisikoscanner dar, der CVE-Scanergebnisse für Containerimages erzeugt.

Feld Typ Beschreibung
name Schnur Name des Scanners (z. B. "trivy")
version Schnur Version des Scanners (z. B. "0.69.1")

CVEList

Das CVEList-Datenmodell stellt eine Reihe von CVEs dar, die von einem bestimmten Sicherheitsrisikoscanner für ein bestimmtes Containerimage erkannt wurden. Jeder Eintrag ordnet die Scannermetadaten der Liste der erkannten CVEs zu.

Feld Typ Beschreibung
scanner CVEScanner Der Scanner, der diese Ergebnisse erzeugt hat
cves CVE[] CVEs, die von diesem Scanner erkannt wurden

CVEMitigation

Das CVEMitigation-Datenmodell verfolgt ein einzelnes CVE für Komponentenversionen und Releasetypen nach und zeigt an, wo es beobachtet wurde und wo es abgemildert wurde.

Feld Typ Beschreibung
cve CVE Die verfolgte CVE
seen_in_component_versions string[] Komponentenversionen (Imagetags oder Paketversionen), bei denen dieses CVE erkannt wurde
seen_in_aks_release_versions string[] AKS-Releaseversionen, in denen diese CVE erkannt wurde
seen_in_aks_k8s_release_versions string[] Kubernetes-Releaseversionen, in denen diese CVE erkannt wurde
seen_in_vhd_release_versions string[] VHD-Versionsversionen, in denen dieser CVE erkannt wurde
mitigated_in_component_versions string[] Komponentenversionen, bei denen dieser CVE behoben wurde
mitigated_in_aks_release_versions string[] AKS-Releaseversionen, in denen diese CVE behoben wurde
mitigated_in_aks_k8s_release_versions string[] Kubernetes- Versionsversionen, bei denen dieses CVE behoben wurde
mitigated_in_vhd_release_versions string[] VHD-Releaseversionen, in denen diese CVE behoben wurde

Delta-Nachverfolgung

AKS Release- und VHD-Releaseberichte enthalten Delta-Felder , die die aktuelle Version mit dem vorherigen vergleichen:

  • mitigated_cves_from_previous_release: CVEs, die in der vorherigen Veröffentlichung vorhanden waren, aber nicht mehr erkannt werden. Dies bedeutet, dass die Sicherheitsanfälligkeit behoben wurde (z. B. über einen Komponentenversionsstoß).
  • removed_container_images_from_previous_release: Container-Images, die in der vorherigen Veröffentlichung ausgeführt wurden, aber in der aktuellen Veröffentlichung fehlen.

Note

Kubernetes-Versionsberichte enthalten keine Deltafelder.

Architekturübergreifende Digests

Jedes Containerimage kann mehrere Digestverweise enthalten, die unterschiedliche CPU-Architekturen (amd64, arm64) abdecken. Die API enthält alle Linux-Plattformdigests aus Multiarchitekturmanifesten, sodass Sie CVE-Daten unabhängig davon abgleichen können, welche plattformspezifischen Digest Ihr Knoten abgerufen hat.

Berichtsversionsformate

Die Berichte der AKS-API für Sicherheitsanfälligkeitsdaten verwenden je nach Art der gemeldeten Version unterschiedliche Versionsschemata. In der folgenden Tabelle sind die Formate zusammengefasst, die für AKS-Versionen, Kubernetes-Versionen und VHD-Versionen verwendet werden:

Veröffentlichungsart Format Example
AKS-Version v{YYYYMMDD} v20260104
Kubernetes-Version Semver 1.33.2
VHD-Version {distro}/{YYYYMM.DD.patch} AKSAzureLinux-gen2/202512.06.0

Verwandte Inhalte

Weitere Informationen zur AKS-Daten-API für Sicherheitsrisiken finden Sie unter Vulnerability Data API für Azure Kubernetes Service (AKS) Übersicht.

  • Zuletzt aktualisiert um