Uso de la API de datos de vulnerabilidades de Azure Kubernetes Service (AKS)

La API de datos de vulnerabilidades de AKS proporciona visibilidad mediante programación y solo lectura de las vulnerabilidades detectadas en los componentes de la plataforma administrada por AKS. Esta API está pensada para equipos de seguridad, equipos de cumplimiento y propietarios de plataformas que necesitan información autoritativa sobre vulnerabilidades que afectan a los artefactos administrados por AKS independientemente de cualquier estado específico del entorno de ejecución del clúster.

En este artículo, aprenderá a usar la API de datos de vulnerabilidades de AKS para recuperar mediante programación informes CVE para artefactos administrados por AKS, incluidas las versiones de AKS, las versiones de Kubernetes, las imágenes de nodo, las imágenes de contenedor y los paquetes del sistema operativo. Proporciona ejemplos de solicitudes de API y muestra cómo interpretar las respuestas para admitir análisis, automatización y correlación de CVE a gran escala con los resultados del analizador de seguridad. Para obtener una visión general de los conceptos en los que se basa la API, consulte Introducción a la API de datos de vulnerabilidades para Azure Kubernetes Service (AKS).

Consulta de informes CVE

En los ejemplos siguientes se muestra cómo consultar la API de datos de vulnerabilidades de AKS para recuperar informes CVE para versiones de AKS, versiones de Kubernetes, imágenes de nodo, imágenes de contenedor y paquetes del sistema operativo.

Consultar los CVE de una versión de AKS

# 1. List available AKS releases
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/_index | jq '.aks_release_versions'

# 2. Get CVE report for a specific release
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/v20260104/scan-reports | jq '.'

Consultar CVE de una versión de Kubernetes

# 1. List available Kubernetes versions
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/_index | jq '.k8s_versions'

# 2. Get CVE report for a specific Kubernetes version
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/1.32.9/scan-reports | jq '.'

Consultar las CVE de una imagen de nodo (VHD)

# 1. List available VHD releases
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/_index | jq '.vhd_release_versions'

# 2. Get CVE report for a specific VHD
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/AKSUbuntu-gen2-2204containerd/202601.13.0/scan-reports | jq '.'

Consultar los CVE de una imagen de contenedor específica

# Get CVE scan report for a specific tagged container image
curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11/scan-reports | jq '.'

# Get CVE mitigation history for a container image repository
curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy/mitigation-reports | jq '.'

Consultar CVE para un paquete específico del sistema operativo

# Get CVE scan report for a specific OS package version
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/3.0.2-0ubuntu1.20/scan-reports | jq '.'

# Get CVE mitigation history for an OS package
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/mitigation-reports | jq '.'

Puntos de conexión

La API de datos de vulnerabilidades de AKS expone puntos de conexión para recuperar informes CVE para versiones de AKS, versiones de Kubernetes, imágenes de nodo, imágenes de contenedor y paquetes del sistema operativo. Cada punto de conexión proporciona acceso a un índice de versiones disponibles o a un informe de examen detallado para una versión o artefacto específicos. En las secciones siguientes se describe cada punto de conexión, las operaciones disponibles y los formatos de solicitud y respuesta esperados.

Versiones de AKS

Obtener el índice de versiones de AKS

El siguiente endpoint devuelve un índice de todas las versiones de AKS con informes de CVE disponibles:

GET /api/v1/aks-releases/_index

Solicitud de ejemplo:

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/_index

Respuesta de ejemplo:

{
  "aks_release_versions": [
    "v20250427",
    "v20250519",
    "v20250617",
    "v20250720",
    "v20250808",
    "v20250829",
    "v20250921",
    "v20251012",
    "v20260104"
  ],
  "report_time": "2026-01-27T16:19:36.181877605Z"
}

Campos de respuesta:

Campo Tipo Descripción
aks_release_versions string[] Versiones de lanzamiento de AKS disponibles, ordenadas cronológicamente
report_time string (ISO 8601) Cuándo se generó por última vez este índice

Obtener el informe CVE de la versión de AKS

El siguiente punto de conexión devuelve un informe detallado de CVE para una versión específica de AKS, que incluye todas las imágenes de contenedor de los espacios de nombres del sistema, sus CVE activos y las diferencias en los CVE con respecto a la versión anterior:

GET /api/v1/aks-releases/{version}/scan-reports

Parámetros de ruta de acceso:

Parámetro Tipo Descripción Example
version string Versión de lanzamiento de AKS del índice v20260104

Solicitud de ejemplo:

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/v20260104/scan-reports

Respuesta de ejemplo (abreviada)::

{
  "aks_release_version": "v20260104",
  "previous_aks_release_version": "v20251012",
  "container_targets": [
    {
      "pod_namespace": "kube-system",
      "container_name": "coredns",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/oss/v2/kubernetes/coredns:v1.9.4-9"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/oss/v2/kubernetes/coredns:v1.9.4-9@sha256:718de5d12a..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2025-47914"},
        {"id": "CVE-2025-58181"},
        {"id": "CVE-2025-61727"},
        {"id": "CVE-2025-61729"}
      ],
      "removed_container_images_from_previous_release": {
        "image_repo_tags": [],
        "image_repo_digests": []
      },
      "mitigated_cves_from_previous_release": []
    },
    {
      "pod_namespace": "gatekeeper-system",
      "container_name": "azure-policy-audit",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.15.3"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.15.3@sha256:67745758..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2025-61727"},
        {"id": "CVE-2025-61729"}
      ],
      "removed_container_images_from_previous_release": {
        "image_repo_tags": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.14.2"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.14.2@sha256:33218f96..."
        ]
      },
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2025-47912"},
        {"id": "CVE-2025-47914"},
        {"id": "CVE-2025-58181"}
      ]
    }
  ],
  "report_time": "2026-01-27T16:19:36.181877605Z"
}

Campos de respuesta:

Campo Tipo Descripción
aks_release_version string Versión de lanzamiento actual de AKS
previous_aks_release_version string Versión anterior (usada para los cálculos diferenciales)
container_targets AKSReleaseContainerTarget[] Todos los componentes de contenedor de esta versión
report_time string (ISO 8601) Fecha y hora de generación del informe

Lanzamientos de versiones de Kubernetes

Obtención del índice de versiones de Kubernetes

El siguiente punto de conexión devuelve un índice de todas las versiones de Kubernetes con informes CVE disponibles:

GET /api/v1/aks-k8s-releases/_index

Solicitud de ejemplo:

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/_index

Respuesta de ejemplo:

{
  "k8s_versions": [
    "1.27.102",
    "1.27.103",
    "1.28.100",
    "1.29.14",
    "1.30.0",
    "1.30.14",
    "1.31.1",
    "1.32.0",
    "1.32.10",
    "1.33.0",
    "1.33.6",
    "1.34.0",
    "1.34.2"
  ],
  "report_time": "2026-01-27T16:14:37.928201259Z"
}

Campos de respuesta:

Campo Tipo Descripción
k8s_versions string[] Versiones disponibles de Kubernetes, ordenadas por semver
report_time string (ISO 8601) Cuándo se generó por última vez este índice

Obtención del informe CVE de la versión de Kubernetes

El siguiente punto de conexión devuelve el informe CVE de una versión específica de Kubernetes, que detalla las vulnerabilidades en las imágenes de contenedor que usan los componentes principales de Kubernetes y los complementos de AKS para esa versión:

GET /api/v1/aks-k8s-releases/{version}/scan-reports

Parámetros de ruta de acceso:

Parámetro Tipo Descripción Example
version string Versión de Kubernetes en el índice 1.33.2

Solicitud de ejemplo:

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/1.33.2/scan-reports

Respuesta de ejemplo (abreviada)::

{
  "k8s_version": "1.33.2",
  "container_targets": [
    {
      "container_image": "mcr.microsoft.com/oss/kubernetes/kube-apiserver",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/oss/kubernetes/kube-apiserver:v1.33.2"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/oss/kubernetes/kube-apiserver:v1.33.2@sha256:abc123..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2025-47912"},
        {"id": "CVE-2025-58181"}
      ]
    },
    {
      "container_image": "mcr.microsoft.com/aks/aks-app-routing-operator",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/aks/aks-app-routing-operator:0.0.3"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/aks/aks-app-routing-operator:0.0.3@sha256:c1ff16ca..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2023-39318"},
        {"id": "CVE-2023-39319"},
        {"id": "CVE-2023-39325"}
      ]
    }
  ],
  "report_time": "2026-01-27T16:14:37.928201259Z"
}

Campos de respuesta:

Campo Tipo Descripción
k8s_version string Versión de Kubernetes (por ejemplo, "1.33.2")
container_targets AKSK8SContainerTarget[] Imágenes de contenedor para esta versión de Kubernetess
report_time string (ISO 8601) Fecha y hora de generación del informe

Versiones de VHD (imagen de nodo)

Obtener el índice de versiones de VHD

El siguiente punto de conexión devuelve un índice de todas las versiones de VHD con informes CVE disponibles:

GET /api/v1/vhd-releases/_index

Solicitud de ejemplo:

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/_index

Respuesta de ejemplo (abreviada)::

{
  "vhd_release_versions": [
    "AKSAzureLinux-gen1/202507.02.0",
    "AKSAzureLinux-gen2/202512.06.0",
    "AKSAzureLinux-gen2fips/202510.03.0",
    "AKSAzureLinuxV3-gen2/202511.20.0",
    "AKSCBLMarinerV2-gen2/202508.20.0",
    "AKSUbuntu-gen1-2204containerd/202601.13.0",
    "AKSUbuntu-gen2-2404containerd/202601.13.0"
  ],
  "report_time": "2026-01-27T16:21:23.056129543Z"
}

Campos de respuesta:

Campo Tipo Descripción
vhd_release_versions string[] Versiones de VHD disponibles en {distro}/{version} formato
report_time string (ISO 8601) Cuándo se generó por última vez este índice

Distribuciones disponibles:

Prefijo de distribución Descripción
AKSAzureLinux-gen1 Azure Linux V2, generación 1
AKSAzureLinux-gen2 Azure Linux V2, Generación 2
AKSAzureLinux-gen1fips Azure Linux V2, Gen 1, habilitado para FIPS
AKSAzureLinux-gen2fips Azure Linux V2, Gen 2, habilitado para FIPS
AKSAzureLinux-gen2kata Azure Linux V2, Gen 2, contenedores Kata
AKSAzureLinux-gen2tl Azure Linux V2, Gen 2, variante TL
AKSAzureLinuxV3-gen1 Azure Linux V3, generación 1
AKSAzureLinuxV3-gen2 Azure Linux V3, generación 2
AKSAzureLinuxV3-gen1fips Azure Linux V3, Gen 1, habilitado para FIPS
AKSAzureLinuxV3-gen2fips Azure Linux V3, Gen 2, habilitado para FIPS
AKSAzureLinuxV3-gen2tl Azure Linux V3, Gen 2, variante TL
AKSCBLMarinerV2-gen1 CBL-Mariner V2, generación 1
AKSCBLMarinerV2-gen2 CBL-Mariner V2, generación 2
AKSCBLMarinerV2-gen1fips CBL-Mariner V2, Gen 1, habilitado para FIPS
AKSCBLMarinerV2-gen2fips CBL-Mariner V2, Gen 2, habilitado para FIPS
AKSCBLMarinerV2-gen2kata CBL-Mariner V2, Gen 2, Kata Containers
AKSCBLMarinerV2-gen2tl CBL-Mariner V2, Gen 2, variante TL
AKSUbuntu-gen1-2004fipscontainerd Ubuntu 20.04, Gen 1, FIPS
AKSUbuntu-gen1-2204containerd Ubuntu 22.04, Generación 1
AKSUbuntu-gen1-2404containerd Ubuntu 24.04, Generación 1
AKSUbuntu-gen2-2004cvmcontainerd Ubuntu 20.04, Gen 2, Vm confidencial
AKSUbuntu-gen2-2004fipscontainerd Ubuntu 20.04, Gen 2, FIPS
AKSUbuntu-gen2-2204containerd Ubuntu 22.04, Generación 2
AKSUbuntu-gen2-2404containerd Ubuntu 24.04, Generación 2
AKSUbuntu-gen2-2204tlcontainerd Ubuntu 22.04, Gen 2, variante TL
AKSUbuntu-gen2-2404tlcontainerd Ubuntu 24.04, Gen 2, variante TL

Obtener el informe CVE de la versión de VHD

El siguiente punto de conexión devuelve el informe CVE de una versión específica de VHD, incluidos los paquetes del sistema operativo y las imágenes de contenedor que se incluyen en esa versión:

GET /api/v1/vhd-releases/{distro}/{version}/scan-reports

Parámetros de ruta de acceso:

Parámetro Tipo Descripción Example
distro string Identificador de distribución de Linux AKSUbuntu-gen2-2204containerd
version string Versión de lanzamiento de VHD 202601.13.0

Solicitud de ejemplo:

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/AKSUbuntu-gen2-2204containerd/202601.13.0/scan-reports

Respuesta de ejemplo (abreviada)::

{
  "distro_name": "AKSUbuntu/gen2/2204containerd",
  "vhd_release_version": "202601.13.0",
  "previous_vhd_release_version": "202512.06.0",
  "os_package_targets": [
    {
      "name": "libtasn1-6",
      "version": "4.18.0-4ubuntu0.2",
      "active_cves": [],
      "previous_version": "4.18.0-4ubuntu0.1",
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2021-46848"},
        {"id": "CVE-2025-13151"}
      ]
    },
    {
      "name": "python3.10",
      "version": "3.10.12-1~22.04.13",
      "active_cves": [],
      "previous_version": "3.10.12-1~22.04.12",
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2025-13836"}
      ]
    }
  ],
  "container_targets": [
    {
      "container_image": "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.1-main-11-14-2025-15146744-cfg"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.1-main-11-14-2025-15146744-cfg@sha256:6ce08d12..."
        ]
      },
      "active_cves": [],
      "removed_container_images_from_previous_release": {
        "image_repo_tags": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.0-main-10-20-2025-fe8f6d51-targetallocator"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.0-main-10-20-2025-fe8f6d51-targetallocator@sha256:314e20ca..."
        ]
      },
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2025-47914"},
        {"id": "CVE-2025-4802"},
        {"id": "CVE-2025-58181"},
        {"id": "CVE-2025-61727"},
        {"id": "CVE-2025-61729"}
      ]
    }
  ],
  "report_time": "2026-01-27T16:21:23.056129543Z"
}

Campos de respuesta:

Campo Tipo Descripción
distro_name string Nombre de distribución de Linux (por ejemplo, "AKSAzureLinux/gen2")
vhd_release_version string Versión actual de lanzamiento de VHD
previous_vhd_release_version string Versión de lanzamiento anterior de VHD
os_package_targets AKSVHDOSPackageTarget[] Paquetes del sistema operativo en este VHD
container_targets AKSVHDContainerTarget[] Imágenes de contenedor incluidas en este VHD
report_time string (ISO 8601) Fecha y hora de generación del informe

Imágenes de contenedor

Los puntos de conexión de imágenes de contenedor proporcionan informes de análisis de CVE por imagen y seguimiento de mitigación de versiones cruzadas para imágenes de contenedor individuales. Estos puntos de conexión no tienen un listado _index; se navega mediante la ruta completa de la imagen.

Obtener informe de análisis de CVE de imagen de contenedor

El siguiente punto de conexión recupera un informe de análisis de CVE de una imagen de contenedor específica identificada por la ruta completa de la imagen y su etiqueta:

GET /api/v1/container-images/{image}:{tag}/scan-reports

Parámetros de ruta de acceso:

Parámetro Tipo Descripción Example
image string Nombre completo de la imagen, incluyendo el registro mcr.microsoft.com/oss/kubernetes/kube-proxy
tag string Etiqueta de imagen v1.31.11

Solicitud de ejemplo:

curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11/scan-reports

Respuesta de ejemplo (abreviada)::

{
  "image_repo_tags": [
    "mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11"
  ],
  "image_repo_digests": [
    "mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11@sha256:abc123..."
  ],
  "report_time": "2026-02-20T16:12:42.081442479Z",
  "active_cves": [
    {
      "scanner": {
        "name": "trivy",
        "version": "0.69.1"
      },
      "cves": [
        {"id": "CVE-2024-13176"},
        {"id": "CVE-2025-47914"}
      ]
    }
  ]
}

Campos de respuesta:

Campo Tipo Descripción
image_repo_tags string[] Etiquetas de imagen para la imagen escaneada
image_repo_digests string[] Resúmenes de imágenes para todas las plataformas compatibles
report_time string (ISO 8601) Fecha y hora de generación del informe
active_cves CVEList[] CV activos agrupados por escáner

Obtener el informe de mitigación de CVE de la imagen de contenedor

El siguiente extremo obtiene un informe de mitigación de CVE para un repositorio específico de imágenes de contenedor y muestra qué CVE se detectaron en qué versiones y lanzamientos de componentes, y en qué versiones y lanzamientos fueron mitigados:

GET /api/v1/container-images/{image}/mitigation-reports

Parámetros de ruta de acceso:

Parámetro Tipo Descripción Example
image string Nombre de imagen completo, incluido el registro (sin etiqueta) mcr.microsoft.com/oss/kubernetes/kube-proxy

Solicitud de ejemplo:

curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy/mitigation-reports

Respuesta de ejemplo (abreviada)::

{
  "container_image": "mcr.microsoft.com/oss/kubernetes/kube-proxy",
  "mitigations": [
    {
      "cve": {"id": "CVE-2023-2253"},
      "seen_in_component_versions": ["v1.27.102-akslts"],
      "seen_in_aks_release_versions": [],
      "seen_in_aks_k8s_release_versions": [],
      "seen_in_vhd_release_versions": ["AKSAzureLinux-gen1/202507.02.0"],
      "mitigated_in_component_versions": [],
      "mitigated_in_aks_release_versions": [],
      "mitigated_in_aks_k8s_release_versions": [],
      "mitigated_in_vhd_release_versions": []
    }
  ]
}

Campos de respuesta:

Campo Tipo Descripción
container_image string Nombre de imagen sin etiqueta
mitigations CVEMitigation[] Entradas de mitigación de CVE para esta imagen

Paquetes del sistema operativo VHD

Los extremos del paquete VHD OS proporcionan informes de análisis de CVE por paquete y seguimiento de mitigaciones entre versiones para paquetes individuales del sistema operativo instalados en imágenes de nodo VHD. Estos puntos de conexión no tienen una _index lista; navega por el nombre del paquete.

Obtener el informe de análisis de CVE del paquete de SO de VHD

El siguiente punto de conexión recupera un informe de análisis de CVE para una versión específica de un paquete del sistema operativo instalado en las imágenes de los nodos VHD:

GET /api/v1/vhd-packages/{name}/{version}/scan-reports

Parámetros de ruta de acceso:

Parámetro Tipo Descripción Example
name string Nombre del paquete del sistema operativo (minúscula) openssl
version string Versión del paquete 3.0.2-0ubuntu1.20

Solicitud de ejemplo:

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/3.0.2-0ubuntu1.20/scan-reports

Respuesta de ejemplo:

{
  "name": "openssl",
  "version": "3.0.2-0ubuntu1.20",
  "active_cves": [
    {"id": "CVE-2025-15467"},
    {"id": "CVE-2025-68160"}
  ],
  "report_time": "2026-02-20T16:14:09.253455099Z"
}

Campos de respuesta:

Campo Tipo Descripción
name string Nombre del paquete
version string Versión del paquete
active_cves CVE[] CVE activos con correcciones disponibles
report_time string (ISO 8601) Fecha y hora de generación del informe

Obtención del informe de mitigación de CVE del paquete del sistema operativo VHD

El siguiente endpoint recupera un informe de mitigación de CVE para un paquete específico del sistema operativo y muestra qué CVE se detectaron en qué versiones del paquete y versiones de VHD, y en qué versiones se mitigaron:

GET /api/v1/vhd-packages/{name}/mitigation-reports

Parámetros de ruta de acceso:

Parámetro Tipo Descripción Example
name string Nombre del paquete del sistema operativo (minúscula) openssl

Solicitud de ejemplo:

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/mitigation-reports

Respuesta de ejemplo (abreviada)::

{
  "package_name": "openssl",
  "mitigations": [
    {
      "cve": {"id": "CVE-2025-15467"},
      "seen_in_component_versions": ["3.3.3-2.azl3", "3.3.3-3.azl3"],
      "seen_in_aks_release_versions": [],
      "seen_in_aks_k8s_release_versions": [],
      "seen_in_vhd_release_versions": ["AKSAzureLinuxV3-gen1/202507.02.0"],
      "mitigated_in_component_versions": [],
      "mitigated_in_aks_release_versions": [],
      "mitigated_in_aks_k8s_release_versions": [],
      "mitigated_in_vhd_release_versions": []
    }
  ]
}

Campos de respuesta:

Campo Tipo Descripción
package_name string Nombre del paquete del sistema operativo
mitigations CVEMitigation[] Entradas de mitigación de CVE para este paquete

Modelos de datos

En las secciones siguientes se describen los modelos de datos devueltos por la API de datos de vulnerabilidad de AKS, incluida la estructura de entradas CVE, referencias de imágenes de contenedor, componentes de versión de AKS, paquetes del sistema operativo VHD y las relaciones entre ellas.

CVE

El modelo de datos CVE es un identificador de vulnerabilidades y exposiciones comunes.

Campo Tipo Descripción
id string Identificador CVE (por ejemplo, "CVE-2024-13176", "GHSA-2464-8j7c-4cjm")

ContainerImages

El modelo de datos ContainerImages representa un conjunto de referencias de imágenes de contenedor, incluidas las etiquetas legibles y los resúmenes direccionables de contenido.

Campo Tipo Descripción
image_repo_tags string[] Etiquetas de imagen (por ejemplo, "mcr.microsoft.com/oss/kubernetes/coredns:v1.9.4-9")
image_repo_digests string[] Resúmenes de imágenes para todas las plataformas compatibles (por ejemplo, "mcr.microsoft.com/oss/kubernetes/coredns:v1.9.4-9@sha256:abc...")

Nota:

Los resúmenes incluyen todas las variantes de la plataforma Linux (amd64, arm64) de manifiestos de varios arcos. Esto permite hacer coincidir los datos de CVE independientemente del resumen criptográfico específico de la plataforma que haya extraído su nodo.

AKSReleaseContainerTarget

El modelo de datos AKSReleaseContainerTarget representa un componente de contenedor dentro de una versión específica de AKS, identificada por el espacio de nombres de pod y el nombre del contenedor donde se ejecuta, junto con las imágenes de contenedor que usa y los CVE que lo afectan.

Campo Tipo Descripción
pod_namespace string Espacio de nombres de Kubernetes (por ejemplo, "kube-system", "calico-system")
container_name string Nombre del contenedor (por ejemplo, "coredns", "calico-node")
active_container_images ContainerImages Imágenes de contenedor que se ejecutan actualmente para este componente
active_cves CVE[] CVE con correcciones disponibles que afectan actualmente a este componente
removed_container_images_from_previous_release ContainerImages Imágenes que estaban presentes en la versión anterior, pero que ya no se están ejecutando
mitigated_cves_from_previous_release CVE[] CVE que existían en la versión anterior, pero que se han corregido en esta versión

AKSK8SContainerTarget

El modelo de datos AKSK8SContainerTarget representa una imagen de contenedor asociada a una versión específica de Kubernetes, incluidas las referencias de imagen etiquetadas y resúmenes de esa imagen y los CVE que lo afectan.

Campo Tipo Descripción
container_image string Nombre de imagen sin etiqueta (por ejemplo, "mcr.microsoft.com/oss/kubernetes/kube-apiserver")
active_container_images ContainerImages Referencias y resúmenes criptográficos de imágenes etiquetadas
active_cves CVE[] CVE activos con correcciones disponibles

AKSVHDContainerTarget

El modelo de datos AKSVHDContainerTarget representa una imagen de contenedor que se incluye en una imagen de nodo VHD, junto con las referencias de imagen etiquetadas, resúmenes y CVE que lo afectan.

Campo Tipo Descripción
container_image string Nombre de imagen sin etiqueta
active_container_images ContainerImages Referencias y resúmenes criptográficos de imágenes etiquetadas
active_cves CVE[] CVE activos con correcciones disponibles
removed_container_images_from_previous_release ContainerImages Imágenes eliminadas desde la versión anterior de VHD
mitigated_cves_from_previous_release CVE[] CVE corregidos desde la versión anterior de VHD

AKSVHDOSPackageTarget

El modelo de datos AKSVHDOSPackageTarget representa un paquete de nivel de SO instalado en una imagen VHD de nodo, junto con la versión instalada, las CVE que lo afectan y cualquier cambio con respecto a la versión anterior de VHD.

Campo Tipo Descripción
name string Nombre del paquete (por ejemplo, "kernel", "containerd", "systemd")
version string Versión del paquete (por ejemplo, "6.1.109.2-1.cm2")
active_cves CVE[] CVE activos con correcciones disponibles
previous_version string Versión de la versión anterior de VHD (vacía si no ha cambiado)
mitigated_cves_from_previous_release CVE[] CVE corregidos desde la versión anterior de VHD

CVEScanner

El modelo de datos CVEScanner representa los metadatos de un analizador de vulnerabilidades que genera resultados de examen CVE para imágenes de contenedor.

Campo Tipo Descripción
name string Nombre del analizador (por ejemplo, "trivy")
version string Versión del escáner (por ejemplo, "0.69.1")

CVEList

El modelo de datos CVEList representa un conjunto de CVE detectados por un analizador de vulnerabilidades determinado para una imagen de contenedor determinada. Cada entrada asocia los metadatos del analizador con la lista de CVE detectadas.

Campo Tipo Descripción
scanner CVEScanner Analizador que generó estos resultados
cves CVE[] CVE detectados por este escáner

CVEMitigation

El modelo de datos CVEMitigation hace un seguimiento de un único CVE a través de las versiones de los componentes y los tipos de lanzamiento, y muestra dónde se observó y dónde se mitigó.

Campo Tipo Descripción
cve CVE El CVE del que se hace seguimiento
seen_in_component_versions string[] Versiones de componentes (etiquetas de imagen o versiones de paquete) donde se detectó este CVE
seen_in_aks_release_versions string[] Versiones de lanzamiento de AKS en las que se detectó esta CVE
seen_in_aks_k8s_release_versions string[] Versiones de lanzamiento de Kubernetes en las que se detectó este CVE
seen_in_vhd_release_versions string[] Versiones de lanzamiento de VHD en las que se detectó este CVE
mitigated_in_component_versions string[] Versiones de componentes en las que se corrigió este CVE
mitigated_in_aks_release_versions string[] Versiones de lanzamiento de AKS en las que se corrigió esta CVE
mitigated_in_aks_k8s_release_versions string[] Versiones de la versión de Kubernetes en las que se corrigió este CVE
mitigated_in_vhd_release_versions string[] Versiones de VHD en las que se corrigió este CVE

Seguimiento de Delta

Los informes de versión de AKS y VHD incluyen campos delta que comparan la versión actual con la anterior:

  • mitigated_cves_from_previous_release: CVE que estaban presentes en la versión anterior pero que ya no se detectan. Esto significa que se corrigió la vulnerabilidad (por ejemplo, a través de un salto de versión del componente).
  • removed_container_images_from_previous_release: las imágenes de contenedor que estaban en ejecución en la versión anterior, pero no están presentes en la actual.

Nota:

Los informes de versión de Kubernetes no incluyen campos delta.

Resúmenes sobre múltiples arquitecturas

Cada imagen de contenedor puede incluir varias referencias de resumen que abarcan diferentes arquitecturas de CPU (amd64, arm64). La API incluye todos los resúmenes de plataforma Linux de los manifiestos de múltiples arquitecturas por lo que puede relacionar los datos de CVE independientemente del resumen de plataforma específico que haya descargado su nodo.

Formatos de versión de informe

Los informes de LA API de datos de vulnerabilidades de AKS usan diferentes esquemas de control de versiones en función del tipo de versión que se notifica. En la tabla siguiente se resumen los formatos usados para las versiones de AKS, las versiones de Kubernetes y las versiones de VHD:

Tipo de versión Formato Example
Versión de AKS v{YYYYMMDD} v20260104
Versión de Kubernetes Semver 1.33.2
Lanzamiento de VHD {distro}/{YYYYMM.DD.patch} AKSAzureLinux-gen2/202512.06.0

Contenido relacionado

Para obtener más información sobre la API de datos de vulnerabilidades de AKS, consulte Vulnerability Data API para obtener información general sobre Azure Kubernetes Service (AKS).

  • Se actualizó por última vez el