Utiliser l’API de données de vulnérabilité Azure Kubernetes Service (AKS)

L’API De données de vulnérabilité AKS vous offre une visibilité en lecture seule par programmation des vulnérabilités détectées dans les composants de plateforme managées PAR AKS. Cette API est destinée aux équipes de sécurité, aux équipes de conformité et aux propriétaires de plateforme qui ont besoin d’informations faisant autorité sur les vulnérabilités affectant les artefacts gérés par AKS indépendamment de tout état d’exécution de cluster spécifique.

Dans cet article, vous allez apprendre à utiliser l’API de données de vulnérabilité AKS pour récupérer par programmation des rapports CVE pour les artefacts gérés par AKS, notamment les versions AKS, les versions kubernetes, les images de nœud, les images conteneur et les packages de système d’exploitation. Il fournit des exemples de requêtes d’API et montre comment interpréter les réponses pour prendre en charge l’analyse CVE à grande échelle, l’automatisation et la corrélation avec les résultats du scanneur de sécurité. Pour obtenir une vue d’ensemble des concepts liés à l’API, consultez Api de données devulnerabilité pour Azure Kubernetes Service (AKS) vue d’ensemble.

Requête pour les rapports CVE

Les exemples suivants montrent comment interroger l’API de données de vulnérabilité AKS pour récupérer des rapports CVE pour les versions AKS, les versions kubernetes, les images de nœud, les images conteneur et les packages de système d’exploitation.

Rechercher les CVE d’une version d’AKS

# 1. List available AKS releases
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/_index | jq '.aks_release_versions'

# 2. Get CVE report for a specific release
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/v20260104/scan-reports | jq '.'

Rechercher les CVE pour une version de Kubernetes

# 1. List available Kubernetes versions
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/_index | jq '.k8s_versions'

# 2. Get CVE report for a specific Kubernetes version
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/1.32.9/scan-reports | jq '.'

Rechercher les CVE pour une image de nœud (VHD)

# 1. List available VHD releases
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/_index | jq '.vhd_release_versions'

# 2. Get CVE report for a specific VHD
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/AKSUbuntu-gen2-2204containerd/202601.13.0/scan-reports | jq '.'

Rechercher des CVE pour une image de conteneur donnée

# Get CVE scan report for a specific tagged container image
curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11/scan-reports | jq '.'

# Get CVE mitigation history for a container image repository
curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy/mitigation-reports | jq '.'

Interroger des CVE pour un package de système d’exploitation spécifique

# Get CVE scan report for a specific OS package version
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/3.0.2-0ubuntu1.20/scan-reports | jq '.'

# Get CVE mitigation history for an OS package
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/mitigation-reports | jq '.'

Points de terminaison

L’API de données de vulnérabilité AKS expose des points de terminaison pour récupérer des rapports CVE pour les versions AKS, les versions kubernetes, les images de nœud, les images conteneur et les packages de système d’exploitation. Chaque point de terminaison permet d’accéder à un index de versions disponibles ou à un rapport d’analyse détaillé pour une version ou un artefact spécifique. Les sections suivantes décrivent chaque point de terminaison, les opérations disponibles et les formats de requête et de réponse attendus.

Versions d’AKS

Obtenir l’index de publication AKS

Le point de terminaison suivant renvoie un index de toutes les versions de publication d’AKS pour lesquelles des rapports CVE sont disponibles :

GET /api/v1/aks-releases/_index

Exemple de demande :

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/_index

Exemple de réponse :

{
  "aks_release_versions": [
    "v20250427",
    "v20250519",
    "v20250617",
    "v20250720",
    "v20250808",
    "v20250829",
    "v20250921",
    "v20251012",
    "v20260104"
  ],
  "report_time": "2026-01-27T16:19:36.181877605Z"
}

Champs de réponse :

Champ Type Description
aks_release_versions chaîne de caractères[] Versions de version AKS disponibles, triées chronologiquement
report_time chaîne (ISO 8601) Lorsque cet index a été généré pour la dernière fois

Obtenir le rapport CVE de la version d’AKS

Le point de terminaison suivant retourne un rapport CVE détaillé pour une version spécifique d’AKS, y compris toutes les images conteneur dans les espaces de noms système, leurs CVE actifs et l’écart des CVE par rapport à la version précédente :

GET /api/v1/aks-releases/{version}/scan-reports

Paramètres de chemin d’accès :

Paramètre Type Description Example
version string Version de publication AKS à partir de l’index v20260104

Exemple de demande :

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/v20260104/scan-reports

Exemple de réponse (abrégé) :

{
  "aks_release_version": "v20260104",
  "previous_aks_release_version": "v20251012",
  "container_targets": [
    {
      "pod_namespace": "kube-system",
      "container_name": "coredns",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/oss/v2/kubernetes/coredns:v1.9.4-9"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/oss/v2/kubernetes/coredns:v1.9.4-9@sha256:718de5d12a..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2025-47914"},
        {"id": "CVE-2025-58181"},
        {"id": "CVE-2025-61727"},
        {"id": "CVE-2025-61729"}
      ],
      "removed_container_images_from_previous_release": {
        "image_repo_tags": [],
        "image_repo_digests": []
      },
      "mitigated_cves_from_previous_release": []
    },
    {
      "pod_namespace": "gatekeeper-system",
      "container_name": "azure-policy-audit",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.15.3"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.15.3@sha256:67745758..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2025-61727"},
        {"id": "CVE-2025-61729"}
      ],
      "removed_container_images_from_previous_release": {
        "image_repo_tags": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.14.2"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.14.2@sha256:33218f96..."
        ]
      },
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2025-47912"},
        {"id": "CVE-2025-47914"},
        {"id": "CVE-2025-58181"}
      ]
    }
  ],
  "report_time": "2026-01-27T16:19:36.181877605Z"
}

Champs de réponse :

Champ Type Description
aks_release_version string Version actuelle d’AKS
previous_aks_release_version string Version précédente (utilisée pour les calculs delta)
container_targets AKSReleaseContainerTarget[] Tous les composants de conteneur de cette version
report_time chaîne (ISO 8601) Horodatage de génération de rapports

Versions de Kubernetes

Obtenir l’index des versions de Kubernetes

Le point de terminaison suivant retourne un index de toutes les versions de Kubernetes avec les rapports CVE disponibles :

GET /api/v1/aks-k8s-releases/_index

Exemple de demande :

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/_index

Exemple de réponse :

{
  "k8s_versions": [
    "1.27.102",
    "1.27.103",
    "1.28.100",
    "1.29.14",
    "1.30.0",
    "1.30.14",
    "1.31.1",
    "1.32.0",
    "1.32.10",
    "1.33.0",
    "1.33.6",
    "1.34.0",
    "1.34.2"
  ],
  "report_time": "2026-01-27T16:14:37.928201259Z"
}

Champs de réponse :

Champ Type Description
k8s_versions chaîne de caractères[] Versions de Kubernetes disponibles, triées par semver
report_time chaîne (ISO 8601) Lorsque cet index a été généré pour la dernière fois

Obtenir le rapport CVE de version Kubernetes

Le point de terminaison suivant retourne le rapport CVE pour une version de Kubernetes spécifique, détaillant les vulnérabilités dans les images conteneur utilisées par les principaux composants Kubernetes et les modules complémentaires AKS pour cette version :

GET /api/v1/aks-k8s-releases/{version}/scan-reports

Paramètres de chemin d’accès :

Paramètre Type Description Example
version string Version de Kubernetes issue de l’index 1.33.2

Exemple de demande :

curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/1.33.2/scan-reports

Exemple de réponse (abrégé) :

{
  "k8s_version": "1.33.2",
  "container_targets": [
    {
      "container_image": "mcr.microsoft.com/oss/kubernetes/kube-apiserver",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/oss/kubernetes/kube-apiserver:v1.33.2"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/oss/kubernetes/kube-apiserver:v1.33.2@sha256:abc123..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2025-47912"},
        {"id": "CVE-2025-58181"}
      ]
    },
    {
      "container_image": "mcr.microsoft.com/aks/aks-app-routing-operator",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/aks/aks-app-routing-operator:0.0.3"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/aks/aks-app-routing-operator:0.0.3@sha256:c1ff16ca..."
        ]
      },
      "active_cves": [
        {"id": "CVE-2023-39318"},
        {"id": "CVE-2023-39319"},
        {"id": "CVE-2023-39325"}
      ]
    }
  ],
  "report_time": "2026-01-27T16:14:37.928201259Z"
}

Champs de réponse :

Champ Type Description
k8s_version string Version de Kubernetes (par exemple, "1.33.2")
container_targets AKSK8SContainerTarget[] Images conteneur pour cette version de Kubernetess
report_time chaîne (ISO 8601) Horodatage de génération de rapports

Versions publiées des images de nœud VHD

Obtenir l’index des versions VHD

Le point de terminaison suivant renvoie un index de toutes les versions VHD pour lesquelles des rapports CVE sont disponibles :

GET /api/v1/vhd-releases/_index

Exemple de demande :

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/_index

Exemple de réponse (abrégé) :

{
  "vhd_release_versions": [
    "AKSAzureLinux-gen1/202507.02.0",
    "AKSAzureLinux-gen2/202512.06.0",
    "AKSAzureLinux-gen2fips/202510.03.0",
    "AKSAzureLinuxV3-gen2/202511.20.0",
    "AKSCBLMarinerV2-gen2/202508.20.0",
    "AKSUbuntu-gen1-2204containerd/202601.13.0",
    "AKSUbuntu-gen2-2404containerd/202601.13.0"
  ],
  "report_time": "2026-01-27T16:21:23.056129543Z"
}

Champs de réponse :

Champ Type Description
vhd_release_versions chaîne de caractères[] Versions VHD disponibles au format {distro}/{version}
report_time chaîne (ISO 8601) Lorsque cet index a été généré pour la dernière fois

Distributions disponibles :

Préfixe de distribution Description
AKSAzureLinux-gen1 Azure Linux V2, Génération 1
AKSAzureLinux-gen2 Azure Linux V2, Génération 2
AKSAzureLinux-gen1fips Azure Linux V2, Gen 1, avec prise en charge de FIPS
AKSAzureLinux-gen2fips Azure Linux V2, Gen 2, avec prise en charge de FIPS
AKSAzureLinux-gen2kata Azure Linux V2, Gen 2, conteneurs Kata
AKSAzureLinux-gen2tl Azure Linux V2, Gen 2, variante TL
AKSAzureLinuxV3-gen1 Azure Linux V3, Génération 1
AKSAzureLinuxV3-gen2 Azure Linux V3, Génération 2
AKSAzureLinuxV3-gen1fips Azure Linux V3, Gen 1, compatible avec FIPS
AKSAzureLinuxV3-gen2fips Azure Linux V3, Gen 2, avec prise en charge de FIPS
AKSAzureLinuxV3-gen2tl Azure Linux V3, Gen 2, variante TL
AKSCBLMarinerV2-gen1 CBL-Mariner V2, génération 1
AKSCBLMarinerV2-gen2 CBL-Mariner V2, Génération 2
AKSCBLMarinerV2-gen1fips CBL-Mariner V2, Gen 1, FIPS activé
AKSCBLMarinerV2-gen2fips CBL-Mariner V2, Gen 2, avec FIPS activé
AKSCBLMarinerV2-gen2kata CBL-Mariner V2, Gen2, Conteneurs Kata
AKSCBLMarinerV2-gen2tl variante CBL-Mariner V2, Gen 2, TL
AKSUbuntu-gen1-2004fipscontainerd Ubuntu 20.04, Gen 1, FIPS
AKSUbuntu-gen1-2204containerd Ubuntu 22.04, Génération 1
AKSUbuntu-gen1-2404containerd Ubuntu 24.04, Génération 1
AKSUbuntu-gen2-2004cvmcontainerd Ubuntu 20.04, Gen 2, Machine virtuelle confidentielle
AKSUbuntu-gen2-2004fipscontainerd Ubuntu 20.04, Gen 2, FIPS
AKSUbuntu-gen2-2204containerd Ubuntu 22.04, Génération 2
AKSUbuntu-gen2-2404containerd Ubuntu 24.04, Génération 2
AKSUbuntu-gen2-2204tlcontainerd Ubuntu 22.04, Gen 2, variante TL
AKSUbuntu-gen2-2404tlcontainerd Ubuntu 24.04, Gen 2, variante TL

Obtenir le rapport CVE de la version VHD

Le point de terminaison d’API suivant renvoie le rapport CVE pour une version spécifique de VHD, y compris les paquets du système d’exploitation et les images de conteneur inclus dans cette version :

GET /api/v1/vhd-releases/{distro}/{version}/scan-reports

Paramètres de chemin d’accès :

Paramètre Type Description Example
distro string Identificateur de distribution Linux AKSUbuntu-gen2-2204containerd
version string Version VHD 202601.13.0

Exemple de demande :

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/AKSUbuntu-gen2-2204containerd/202601.13.0/scan-reports

Exemple de réponse (abrégé) :

{
  "distro_name": "AKSUbuntu/gen2/2204containerd",
  "vhd_release_version": "202601.13.0",
  "previous_vhd_release_version": "202512.06.0",
  "os_package_targets": [
    {
      "name": "libtasn1-6",
      "version": "4.18.0-4ubuntu0.2",
      "active_cves": [],
      "previous_version": "4.18.0-4ubuntu0.1",
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2021-46848"},
        {"id": "CVE-2025-13151"}
      ]
    },
    {
      "name": "python3.10",
      "version": "3.10.12-1~22.04.13",
      "active_cves": [],
      "previous_version": "3.10.12-1~22.04.12",
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2025-13836"}
      ]
    }
  ],
  "container_targets": [
    {
      "container_image": "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images",
      "active_container_images": {
        "image_repo_tags": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.1-main-11-14-2025-15146744-cfg"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.1-main-11-14-2025-15146744-cfg@sha256:6ce08d12..."
        ]
      },
      "active_cves": [],
      "removed_container_images_from_previous_release": {
        "image_repo_tags": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.0-main-10-20-2025-fe8f6d51-targetallocator"
        ],
        "image_repo_digests": [
          "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.0-main-10-20-2025-fe8f6d51-targetallocator@sha256:314e20ca..."
        ]
      },
      "mitigated_cves_from_previous_release": [
        {"id": "CVE-2025-47914"},
        {"id": "CVE-2025-4802"},
        {"id": "CVE-2025-58181"},
        {"id": "CVE-2025-61727"},
        {"id": "CVE-2025-61729"}
      ]
    }
  ],
  "report_time": "2026-01-27T16:21:23.056129543Z"
}

Champs de réponse :

Champ Type Description
distro_name string Nom de distribution Linux (par exemple, "AKSAzureLinux/gen2")
vhd_release_version string Version actuelle de VHD
previous_vhd_release_version string Version précédente publiée de VHD
os_package_targets AKSVHDOSPackageTarget[] Paquets du système d’exploitation dans ce VHD
container_targets AKSVHDContainerTarget[] Images de conteneurs incluses dans ce VHD
report_time chaîne (ISO 8601) Horodatage de génération de rapports

Images de conteneur

Les points de terminaison des images de conteneur fournissent, pour chaque image de conteneur, des rapports d’analyse des CVE ainsi qu’un suivi des mesures d’atténuation entre les différentes versions. Ces points de terminaison n’ont pas de _index liste ; la navigation s’effectue via le chemin complet de l’image.

Récupérer le rapport d’analyse des CVE de l’image de conteneur

Le point de terminaison suivant récupère un rapport d’analyse CVE pour une image conteneur spécifique identifiée par son chemin complet d’image et sa balise :

GET /api/v1/container-images/{image}:{tag}/scan-reports

Paramètres de chemin d’accès :

Paramètre Type Description Example
image string Nom complet de l’image, y compris le registre d’images mcr.microsoft.com/oss/kubernetes/kube-proxy
tag string Balise d’image v1.31.11

Exemple de demande :

curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11/scan-reports

Exemple de réponse (abrégé) :

{
  "image_repo_tags": [
    "mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11"
  ],
  "image_repo_digests": [
    "mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11@sha256:abc123..."
  ],
  "report_time": "2026-02-20T16:12:42.081442479Z",
  "active_cves": [
    {
      "scanner": {
        "name": "trivy",
        "version": "0.69.1"
      },
      "cves": [
        {"id": "CVE-2024-13176"},
        {"id": "CVE-2025-47914"}
      ]
    }
  ]
}

Champs de réponse :

Champ Type Description
image_repo_tags chaîne de caractères[] Balises d’image pour l’image analysée
image_repo_digests chaîne de caractères[] Synthèses d’images pour toutes les plateformes prises en charge
report_time chaîne (ISO 8601) Horodatage de génération de rapports
active_cves CVEList[] CVEs actives groupées par scanner

Obtenir le rapport d’atténuation des CVE de l’image de conteneur

Le point de terminaison suivant récupère un rapport d’atténuation des CVE pour un dépôt d’images de conteneur spécifique et indique quels CVE ont été observés dans quelles versions de composants et quelles releases, ainsi que dans quelles versions et releases ils ont été atténués :

GET /api/v1/container-images/{image}/mitigation-reports

Paramètres de chemin d’accès :

Paramètre Type Description Example
image string Nom complet de l’image, y compris le registre (sans étiquette) mcr.microsoft.com/oss/kubernetes/kube-proxy

Exemple de demande :

curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy/mitigation-reports

Exemple de réponse (abrégé) :

{
  "container_image": "mcr.microsoft.com/oss/kubernetes/kube-proxy",
  "mitigations": [
    {
      "cve": {"id": "CVE-2023-2253"},
      "seen_in_component_versions": ["v1.27.102-akslts"],
      "seen_in_aks_release_versions": [],
      "seen_in_aks_k8s_release_versions": [],
      "seen_in_vhd_release_versions": ["AKSAzureLinux-gen1/202507.02.0"],
      "mitigated_in_component_versions": [],
      "mitigated_in_aks_release_versions": [],
      "mitigated_in_aks_k8s_release_versions": [],
      "mitigated_in_vhd_release_versions": []
    }
  ]
}

Champs de réponse :

Champ Type Description
container_image string Nom de l’image sans balise
mitigations CVEMitigation[] Mesures de mitigation des CVE pour cette image

Packages de système d’exploitation VHD

Les points de terminaison du package du système d’exploitation VHD fournissent, pour chaque paquet, des rapports d’analyse des CVE ainsi qu’un suivi des mesures d’atténuation d’une version à l’autre pour les paquets du système d’exploitation individuels installés dans les images de nœud VHD. Ces points de terminaison n’ont pas de _index description ; vous naviguez par le nom du package.

Obtenir le rapport d’analyse CVE du package de système d’exploitation VHD

Le point de terminaison suivant récupère un rapport d’analyse CVE pour une version spécifique du package de système d’exploitation installée dans les images de nœud VHD :

GET /api/v1/vhd-packages/{name}/{version}/scan-reports

Paramètres de chemin d’accès :

Paramètre Type Description Example
name string Nom du package du système d’exploitation (minuscules) openssl
version string Version du package 3.0.2-0ubuntu1.20

Exemple de demande :

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/3.0.2-0ubuntu1.20/scan-reports

Exemple de réponse :

{
  "name": "openssl",
  "version": "3.0.2-0ubuntu1.20",
  "active_cves": [
    {"id": "CVE-2025-15467"},
    {"id": "CVE-2025-68160"}
  ],
  "report_time": "2026-02-20T16:14:09.253455099Z"
}

Champs de réponse :

Champ Type Description
name string Nom du package
version string Version du package
active_cves CVE[] CVE actifs avec des correctifs disponibles
report_time chaîne (ISO 8601) Horodatage de génération de rapports

Obtenir le rapport d’atténuation CVE du package de système d’exploitation VHD

Le point de terminaison suivant récupère un rapport d’atténuation des CVE pour un paquet du système d’exploitation spécifique et indique quelles CVE ont été observées dans quelles versions du paquet et du VHD, ainsi que dans quelles versions elles ont été atténuées :

GET /api/v1/vhd-packages/{name}/mitigation-reports

Paramètres de chemin d’accès :

Paramètre Type Description Example
name string Nom du package du système d’exploitation (minuscules) openssl

Exemple de demande :

curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/mitigation-reports

Exemple de réponse (abrégé) :

{
  "package_name": "openssl",
  "mitigations": [
    {
      "cve": {"id": "CVE-2025-15467"},
      "seen_in_component_versions": ["3.3.3-2.azl3", "3.3.3-3.azl3"],
      "seen_in_aks_release_versions": [],
      "seen_in_aks_k8s_release_versions": [],
      "seen_in_vhd_release_versions": ["AKSAzureLinuxV3-gen1/202507.02.0"],
      "mitigated_in_component_versions": [],
      "mitigated_in_aks_release_versions": [],
      "mitigated_in_aks_k8s_release_versions": [],
      "mitigated_in_vhd_release_versions": []
    }
  ]
}

Champs de réponse :

Champ Type Description
package_name string Nom du package du système d’exploitation
mitigations CVEMitigation[] Entrées d’atténuation CVE pour ce package

Modèles de données

Les sections suivantes décrivent les modèles de données retournés par l’API de données de vulnérabilité AKS, notamment la structure des entrées CVE, les références d’images conteneur, les composants de mise en production AKS, les packages de système d’exploitation VHD et les relations entre eux.

CVE

Le modèle de données CVE est un identificateur de vulnérabilités et d’exposition courants.

Champ Type Description
id string Identificateur CVE (par exemple, , "CVE-2024-13176""GHSA-2464-8j7c-4cjm")

ContainerImages

Le modèle de données ContainerImages représente un ensemble de références d’images conteneur, y compris les balises lisibles par l’homme et les synthèses adressables au contenu.

Champ Type Description
image_repo_tags chaîne de caractères[] Balises d’image (par exemple, "mcr.microsoft.com/oss/kubernetes/coredns:v1.9.4-9")
image_repo_digests chaîne de caractères[] Synthèses d’images pour toutes les plateformes prises en charge (par exemple, "mcr.microsoft.com/oss/kubernetes/coredns:v1.9.4-9@sha256:abc...")

Note

Les synthèses incluent toutes les variantes de plateforme Linux (amd64, arm64) à partir de manifestes multi-arch. Cela permet de faire correspondre les données CVE quelles que soient les synthèses spécifiques à la plateforme extraites par votre nœud.

AKSReleaseContainerTarget

Le modèle de données AKSReleaseContainerTarget représente un composant conteneur dans une version AKS spécifique, identifié par l’espace de noms de pod et le nom du conteneur où il s’exécute, ainsi que les images conteneur qu’il utilise et les cvEs qui l’affectent.

Champ Type Description
pod_namespace string Espace de noms Kubernetes (par exemple, , "kube-system""calico-system")
container_name string Nom du conteneur (par exemple, , "coredns""calico-node")
active_container_images ContainerImages Images de conteneurs actuellement en cours d’exécution pour ce composant
active_cves CVE[] CVE avec correctifs disponibles affectant actuellement ce composant
removed_container_images_from_previous_release ContainerImages Images présentes dans la version précédente, mais qui ne sont plus en cours d’exécution
mitigated_cves_from_previous_release CVE[] CVEs qui existaient dans la version précédente, mais qui ont été corrigés dans cette version

AKSK8SContainerTarget

Le modèle de données AKSK8SContainerTarget représente une image de conteneur associée à une version spécifique de Kubernetes, incluant les références d’image étiquetées et les condensés de cette image, ainsi que les CVE qui l’affectent.

Champ Type Description
container_image string Nom de l’image sans balise (par exemple, "mcr.microsoft.com/oss/kubernetes/kube-apiserver")
active_container_images ContainerImages Références et synthèses d’images étiquetées
active_cves CVE[] CVE actifs avec des correctifs disponibles

AKSVHDContainerTarget

Le modèle de données AKSVHDContainerTarget représente une image conteneur incluse dans une image de nœud VHD, ainsi que les références d’image étiquetées, les synthèses et les cvEs qui l’affectent.

Champ Type Description
container_image string Nom de l’image sans balise
active_container_images ContainerImages Références et synthèses d’images étiquetées
active_cves CVE[] CVE actifs avec des correctifs disponibles
removed_container_images_from_previous_release ContainerImages Images supprimées depuis la version précédente du VHD
mitigated_cves_from_previous_release CVE[] CVE corrigées depuis la version précédente du VHD

AKSVHDOSPackageTarget

Le modèle de données AKSVHDOSPackageTarget représente un package du système d’exploitation installé dans une image de nœud VHD, ainsi que la version installée, les CVE qui l’affectent et les modifications par rapport à la version VHD précédente.

Champ Type Description
name string Nom du package (par exemple, , "kernel""containerd", "systemd")
version string Version du package (par exemple, "6.1.109.2-1.cm2")
active_cves CVE[] CVE actifs avec des correctifs disponibles
previous_version string Version de la version précédente du VHD (vide si inchangée)
mitigated_cves_from_previous_release CVE[] CVE corrigées depuis la version précédente du VHD

CVEScanner

Le modèle de données CVEScanner représente les métadonnées d’un scanneur de vulnérabilités qui produit des résultats d’analyse CVE pour les images conteneur.

Champ Type Description
name string Nom du scanneur (par exemple, "trivy")
version string Version du scanneur (par exemple, "0.69.1")

CVEList

Le modèle de données CVEList représente un ensemble de CVE détectés par un scanneur de vulnérabilité particulier pour une image conteneur donnée. Chaque entrée associe les métadonnées du scanneur à la liste des CVE qu’elle a détectées.

Champ Type Description
scanner CVEScanner Scanneur qui a produit ces résultats
cves CVE[] CVEs détectés par cet analyseur

CVEMitigation

Le modèle de données CVEMitigation effectue le suivi d’une seule CVE entre les versions des composants et les types de mise en production, montrant où elle a été observée et où elle a été atténuée.

Champ Type Description
cve CVE La CVE faisant l’objet d’un suivi
seen_in_component_versions chaîne de caractères[] Versions des composants (balises d’image ou versions de package) où cette CVE a été détectée
seen_in_aks_release_versions chaîne de caractères[] Versions d’AKS dans lesquelles cette CVE a été détectée
seen_in_aks_k8s_release_versions chaîne de caractères[] Versions de la version Kubernetes où cette CVE a été détectée
seen_in_vhd_release_versions chaîne de caractères[] Versions publiées de VHD où cette CVE a été détectée
mitigated_in_component_versions chaîne de caractères[] Versions des composants où cette CVE a été corrigée
mitigated_in_aks_release_versions chaîne de caractères[] Versions de publication d’AKS dans lesquelles cette CVE a été corrigée
mitigated_in_aks_k8s_release_versions chaîne de caractères[] Versions de la version Kubernetes où cette CVE a été corrigée
mitigated_in_vhd_release_versions chaîne de caractères[] Versions publiées de VHD dans lesquelles cette CVE a été corrigée

Suivi des écarts

Les rapports de publication AKS et VHD incluent des champs delta qui comparent la version actuelle à la version précédente :

  • mitigated_cves_from_previous_release : les CVE qui étaient présentes dans la version précédente mais qui ne sont plus détectées. Cela signifie que la vulnérabilité a été corrigée (par exemple, via une mise à jour de la version d’un composant).
  • removed_container_images_from_previous_release: images conteneur qui étaient en cours d’exécution dans la version précédente, mais qui sont absentes de la version actuelle.

Note

Les rapports de version Kubernetes n’incluent pas de champs delta.

Synthèses multi-architectures

Chaque image de conteneur peut inclure plusieurs digests correspondant à différentes architectures processeur (amd64, arm64). L’API inclut toutes les synthèses de plateforme Linux à partir de manifestes multi-architectures. Vous pouvez donc faire correspondre les données CVE, quelle que soit la plateforme spécifique qui a extrait votre nœud.

Formats de version de rapport

Les rapports de l’API de données de vulnérabilité AKS utilisent différents schémas de contrôle de version en fonction du type de publication signalé. Le tableau suivant résume les formats utilisés pour les versions d’AKS, les versions de Kubernetes et les versions de VHD :

Type de version Format Example
Publication AKS v{YYYYMMDD} v20260104
Version de Kubernetes Semver 1.33.2
Version VHD {distro}/{YYYYMM.DD.patch} AKSAzureLinux-gen2/202512.06.0

Contenu connexe

Pour plus d’informations sur l’API de données de vulnérabilité AKS, consultez API De données de vulnérabilité pour Azure Kubernetes Service (AKS) vue d’ensemble.

  • Dernière mise à jour :