Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
L'API dati di vulnerabilità del servizio Azure Kubernetes offre visibilità a livello di codice e di sola lettura sulle vulnerabilità rilevate nei componenti della piattaforma gestita dal servizio Azure Kubernetes. Questa API è destinata ai team di sicurezza, ai team di conformità e ai proprietari della piattaforma che necessitano di informazioni autorevoli sulle vulnerabilità che interessano gli artefatti gestiti dal servizio Azure Kubernetes indipendentemente da qualsiasi stato di runtime del cluster specifico.
Questo articolo illustra come usare l'API dati di vulnerabilità del servizio Azure Kubernetes per recuperare i report CVE a livello di codice per gli artefatti gestiti dal servizio Azure Kubernetes, incluse le versioni del servizio Azure Kubernetes, le immagini dei nodi, le immagini del contenitore e i pacchetti del sistema operativo. Fornisce esempi di richieste API e illustra come interpretare le risposte per supportare analisi CVE su larga scala, automazione e correlazione con i risultati dello scanner di sicurezza. Per una panoramica dei concetti alla base dell'API, vedere Panoramica dell'API dei dati sulle vulnerabilità per Servizio Azure Kubernetes (AKS).
Ricerca dei rapporti CVE
Gli esempi seguenti illustrano come eseguire query sull'API dati di vulnerabilità del servizio Azure Kubernetes per recuperare i report CVE per le versioni del servizio Azure Kubernetes, le immagini dei nodi, le immagini del contenitore e i pacchetti del sistema operativo.
Eseguire una query sulle CVE per una release di AKS
# 1. List available AKS releases
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/_index | jq '.aks_release_versions'
# 2. Get CVE report for a specific release
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/v20260104/scan-reports | jq '.'
Interrogare i CVE per una versione di Kubernetes
# 1. List available Kubernetes versions
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/_index | jq '.k8s_versions'
# 2. Get CVE report for a specific Kubernetes version
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/1.32.9/scan-reports | jq '.'
Interrogare i CVE per un'immagine VHD di un nodo
# 1. List available VHD releases
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/_index | jq '.vhd_release_versions'
# 2. Get CVE report for a specific VHD
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/AKSUbuntu-gen2-2204containerd/202601.13.0/scan-reports | jq '.'
Cerca i CVE relativi a una specifica immagine di container
# Get CVE scan report for a specific tagged container image
curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11/scan-reports | jq '.'
# Get CVE mitigation history for a container image repository
curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy/mitigation-reports | jq '.'
Interrogare i CVE di uno specifico pacchetto del sistema operativo
# Get CVE scan report for a specific OS package version
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/3.0.2-0ubuntu1.20/scan-reports | jq '.'
# Get CVE mitigation history for an OS package
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/mitigation-reports | jq '.'
Endpoint
L'API AKS Vulnerability Data mette a disposizione endpoint per il recupero dei rapporti CVE relativi alle release di AKS, alle versioni di Kubernetes, alle immagini dei nodi, alle immagini dei container e ai pacchetti del sistema operativo. Ogni endpoint consente l'accesso a un indice di versioni disponibili o a un report di analisi dettagliato per una versione o un artefatto specifico. Le sezioni seguenti descrivono ogni endpoint, le operazioni disponibili e i formati di richiesta e risposta previsti.
Versioni del servizio Azure Kubernetes
Recuperare l'indice delle versioni di AKS
L'endpoint seguente restituisce l'indice di tutte le versioni di rilascio di AKS per cui sono disponibili report CVE:
GET /api/v1/aks-releases/_index
Richiesta di esempio:
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/_index
Risposta di esempio:
{
"aks_release_versions": [
"v20250427",
"v20250519",
"v20250617",
"v20250720",
"v20250808",
"v20250829",
"v20250921",
"v20251012",
"v20260104"
],
"report_time": "2026-01-27T16:19:36.181877605Z"
}
Campi di risposta:
| Campo | Tipo | Description |
|---|---|---|
aks_release_versions |
string[] | Versioni di rilascio di AKS disponibili, ordinate cronologicamente |
report_time |
stringa (ISO 8601) | Data dell'ultima generazione dell'indice |
Scarica il rapporto CVE relativo alla versione AKS
L'endpoint seguente restituisce un report CVE dettagliato per una versione di rilascio specifica di AKS, incluse tutte le immagini dei container nei namespace di sistema, le relative CVE attive e il delta delle CVE rispetto alla versione precedente:
GET /api/v1/aks-releases/{version}/scan-reports
Parametri di percorso:
| Parametro | Tipo | Description | Esempio |
|---|---|---|---|
version |
string | Versione AKS dall'indice | v20260104 |
Richiesta di esempio:
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-releases/v20260104/scan-reports
Risposta di esempio (abbreviata):
{
"aks_release_version": "v20260104",
"previous_aks_release_version": "v20251012",
"container_targets": [
{
"pod_namespace": "kube-system",
"container_name": "coredns",
"active_container_images": {
"image_repo_tags": [
"mcr.microsoft.com/oss/v2/kubernetes/coredns:v1.9.4-9"
],
"image_repo_digests": [
"mcr.microsoft.com/oss/v2/kubernetes/coredns:v1.9.4-9@sha256:718de5d12a..."
]
},
"active_cves": [
{"id": "CVE-2025-47914"},
{"id": "CVE-2025-58181"},
{"id": "CVE-2025-61727"},
{"id": "CVE-2025-61729"}
],
"removed_container_images_from_previous_release": {
"image_repo_tags": [],
"image_repo_digests": []
},
"mitigated_cves_from_previous_release": []
},
{
"pod_namespace": "gatekeeper-system",
"container_name": "azure-policy-audit",
"active_container_images": {
"image_repo_tags": [
"mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.15.3"
],
"image_repo_digests": [
"mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.15.3@sha256:67745758..."
]
},
"active_cves": [
{"id": "CVE-2025-61727"},
{"id": "CVE-2025-61729"}
],
"removed_container_images_from_previous_release": {
"image_repo_tags": [
"mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.14.2"
],
"image_repo_digests": [
"mcr.microsoft.com/azure-policy/policy-kubernetes-audit:1.14.2@sha256:33218f96..."
]
},
"mitigated_cves_from_previous_release": [
{"id": "CVE-2025-47912"},
{"id": "CVE-2025-47914"},
{"id": "CVE-2025-58181"}
]
}
],
"report_time": "2026-01-27T16:19:36.181877605Z"
}
Campi di risposta:
| Campo | Tipo | Description |
|---|---|---|
aks_release_version |
string | Versione corrente di rilascio di AKS |
previous_aks_release_version |
string | Versione precedente (usata per i calcoli differenziali) |
container_targets |
AKSReleaseContainerTarget[] | Tutti i componenti del contenitore in questa versione |
report_time |
stringa (ISO 8601) | Timestamp di generazione del report |
Versioni di Kubernetes
Ottenere l'indice delle versioni di Kubernetes
L'endpoint seguente restituisce un indice di tutte le versioni di Kubernetes con i report CVE disponibili:
GET /api/v1/aks-k8s-releases/_index
Richiesta di esempio:
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/_index
Risposta di esempio:
{
"k8s_versions": [
"1.27.102",
"1.27.103",
"1.28.100",
"1.29.14",
"1.30.0",
"1.30.14",
"1.31.1",
"1.32.0",
"1.32.10",
"1.33.0",
"1.33.6",
"1.34.0",
"1.34.2"
],
"report_time": "2026-01-27T16:14:37.928201259Z"
}
Campi di risposta:
| Campo | Tipo | Description |
|---|---|---|
k8s_versions |
string[] | Versioni disponibili di Kubernetes, ordinate in base a semver |
report_time |
stringa (ISO 8601) | Data dell'ultima generazione dell'indice |
Ottenere il report CVE della versione di Kubernetes
L'endpoint seguente restituisce il rapporto CVE per una versione specifica di Kubernetes, che descrive in dettaglio le vulnerabilità nelle immagini dei contenitori utilizzate dai componenti principali di Kubernetes e dai componenti aggiuntivi di AKS per tale versione:
GET /api/v1/aks-k8s-releases/{version}/scan-reports
Parametri di percorso:
| Parametro | Tipo | Description | Esempio |
|---|---|---|---|
version |
string | Versione di Kubernetes dall'indice | 1.33.2 |
Richiesta di esempio:
curl -s https://cve-api.prod-aks.azure.com/api/v1/aks-k8s-releases/1.33.2/scan-reports
Risposta di esempio (abbreviata):
{
"k8s_version": "1.33.2",
"container_targets": [
{
"container_image": "mcr.microsoft.com/oss/kubernetes/kube-apiserver",
"active_container_images": {
"image_repo_tags": [
"mcr.microsoft.com/oss/kubernetes/kube-apiserver:v1.33.2"
],
"image_repo_digests": [
"mcr.microsoft.com/oss/kubernetes/kube-apiserver:v1.33.2@sha256:abc123..."
]
},
"active_cves": [
{"id": "CVE-2025-47912"},
{"id": "CVE-2025-58181"}
]
},
{
"container_image": "mcr.microsoft.com/aks/aks-app-routing-operator",
"active_container_images": {
"image_repo_tags": [
"mcr.microsoft.com/aks/aks-app-routing-operator:0.0.3"
],
"image_repo_digests": [
"mcr.microsoft.com/aks/aks-app-routing-operator:0.0.3@sha256:c1ff16ca..."
]
},
"active_cves": [
{"id": "CVE-2023-39318"},
{"id": "CVE-2023-39319"},
{"id": "CVE-2023-39325"}
]
}
],
"report_time": "2026-01-27T16:14:37.928201259Z"
}
Campi di risposta:
| Campo | Tipo | Description |
|---|---|---|
k8s_version |
string | Versione di Kubernetes (ad esempio, "1.33.2") |
container_targets |
AKSK8SContainerTarget[] | Immagini del contenitore per questa versione di Kubernetess |
report_time |
stringa (ISO 8601) | Timestamp di generazione del report |
Versioni VHD (immagine del nodo)
Recuperare l'indice delle versioni VHD
L'endpoint seguente restituisce un indice di tutte le release VHD con report CVE disponibili:
GET /api/v1/vhd-releases/_index
Richiesta di esempio:
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/_index
Risposta di esempio (abbreviata):
{
"vhd_release_versions": [
"AKSAzureLinux-gen1/202507.02.0",
"AKSAzureLinux-gen2/202512.06.0",
"AKSAzureLinux-gen2fips/202510.03.0",
"AKSAzureLinuxV3-gen2/202511.20.0",
"AKSCBLMarinerV2-gen2/202508.20.0",
"AKSUbuntu-gen1-2204containerd/202601.13.0",
"AKSUbuntu-gen2-2404containerd/202601.13.0"
],
"report_time": "2026-01-27T16:21:23.056129543Z"
}
Campi di risposta:
| Campo | Tipo | Description |
|---|---|---|
vhd_release_versions |
string[] | Versioni VHD disponibili nel formato {distro}/{version} |
report_time |
stringa (ISO 8601) | Data dell'ultima generazione dell'indice |
Distribuzioni disponibili:
| Prefisso della distribuzione | Description |
|---|---|
AKSAzureLinux-gen1 |
Azure Linux V2, Generazione 1 |
AKSAzureLinux-gen2 |
Azure Linux V2, Seconda generazione |
AKSAzureLinux-gen1fips |
Azure Linux V2, Gen 1, abilitata per FIPS |
AKSAzureLinux-gen2fips |
Azure Linux V2, Gen 2, abilitata per FIPS |
AKSAzureLinux-gen2kata |
Azure Linux V2, Gen 2, container Kata |
AKSAzureLinux-gen2tl |
Azure Linux V2, Gen 2, variante TL |
AKSAzureLinuxV3-gen1 |
Azure Linux V3, generazione 1 |
AKSAzureLinuxV3-gen2 |
Azure Linux V3, seconda generazione |
AKSAzureLinuxV3-gen1fips |
Azure Linux V3, Gen 1, abilitata per FIPS |
AKSAzureLinuxV3-gen2fips |
Azure Linux V3, Gen 2, abilitata per FIPS |
AKSAzureLinuxV3-gen2tl |
Azure Linux V3, Gen 2, variante TL |
AKSCBLMarinerV2-gen1 |
CBL-Mariner V2, Generazione 1 |
AKSCBLMarinerV2-gen2 |
CBL-Mariner V2, Generazione 2 |
AKSCBLMarinerV2-gen1fips |
CBL-Mariner V2, Gen 1, con supporto FIPS |
AKSCBLMarinerV2-gen2fips |
CBL-Mariner V2, Gen 2, con supporto FIPS |
AKSCBLMarinerV2-gen2kata |
CBL-Mariner V2, Gen 2, Kata containers |
AKSCBLMarinerV2-gen2tl |
CBL-Mariner V2, Gen 2, variante TL |
AKSUbuntu-gen1-2004fipscontainerd |
Ubuntu 20.04, Gen 1, FIPS |
AKSUbuntu-gen1-2204containerd |
Ubuntu 22.04, Generazione 1 |
AKSUbuntu-gen1-2404containerd |
Ubuntu 24.04, Generazione 1 |
AKSUbuntu-gen2-2004cvmcontainerd |
Ubuntu 20.04, Gen 2, MACCHINA virtuale riservata |
AKSUbuntu-gen2-2004fipscontainerd |
Ubuntu 20.04, Gen 2, FIPS |
AKSUbuntu-gen2-2204containerd |
Ubuntu 22.04, Generazione 2 |
AKSUbuntu-gen2-2404containerd |
Ubuntu 24.04, Generazione 2 |
AKSUbuntu-gen2-2204tlcontainerd |
Ubuntu 22.04, Gen 2, variante TL |
AKSUbuntu-gen2-2404tlcontainerd |
Ubuntu 24.04, Gen 2, variante TL |
Ottieni il report CVE della release VHD
L'endpoint seguente restituisce il report CVE per una specifica release VHD, inclusi sia i pacchetti del sistema operativo sia le immagini del container incluse in tale release:
GET /api/v1/vhd-releases/{distro}/{version}/scan-reports
Parametri di percorso:
| Parametro | Tipo | Description | Esempio |
|---|---|---|---|
distro |
string | Identificatore di distribuzione Linux | AKSUbuntu-gen2-2204containerd |
version |
string | Versione di rilascio VHD | 202601.13.0 |
Richiesta di esempio:
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-releases/AKSUbuntu-gen2-2204containerd/202601.13.0/scan-reports
Risposta di esempio (abbreviata):
{
"distro_name": "AKSUbuntu/gen2/2204containerd",
"vhd_release_version": "202601.13.0",
"previous_vhd_release_version": "202512.06.0",
"os_package_targets": [
{
"name": "libtasn1-6",
"version": "4.18.0-4ubuntu0.2",
"active_cves": [],
"previous_version": "4.18.0-4ubuntu0.1",
"mitigated_cves_from_previous_release": [
{"id": "CVE-2021-46848"},
{"id": "CVE-2025-13151"}
]
},
{
"name": "python3.10",
"version": "3.10.12-1~22.04.13",
"active_cves": [],
"previous_version": "3.10.12-1~22.04.12",
"mitigated_cves_from_previous_release": [
{"id": "CVE-2025-13836"}
]
}
],
"container_targets": [
{
"container_image": "mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images",
"active_container_images": {
"image_repo_tags": [
"mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.1-main-11-14-2025-15146744-cfg"
],
"image_repo_digests": [
"mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.1-main-11-14-2025-15146744-cfg@sha256:6ce08d12..."
]
},
"active_cves": [],
"removed_container_images_from_previous_release": {
"image_repo_tags": [
"mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.0-main-10-20-2025-fe8f6d51-targetallocator"
],
"image_repo_digests": [
"mcr.microsoft.com/azuremonitor/containerinsights/ciprod/prometheus-collector/images:6.24.0-main-10-20-2025-fe8f6d51-targetallocator@sha256:314e20ca..."
]
},
"mitigated_cves_from_previous_release": [
{"id": "CVE-2025-47914"},
{"id": "CVE-2025-4802"},
{"id": "CVE-2025-58181"},
{"id": "CVE-2025-61727"},
{"id": "CVE-2025-61729"}
]
}
],
"report_time": "2026-01-27T16:21:23.056129543Z"
}
Campi di risposta:
| Campo | Tipo | Description |
|---|---|---|
distro_name |
string | Nome di distribuzione Linux (ad esempio, "AKSAzureLinux/gen2") |
vhd_release_version |
string | Versione di rilascio corrente di VHD |
previous_vhd_release_version |
string | Versione della release precedente di VHD |
os_package_targets |
AKSVHDOSPackageTarget[] | Pacchetti del sistema operativo in questo disco rigido virtuale |
container_targets |
AKSVHDContainerTarget[] | Immagini del container incluse in questo VHD |
report_time |
stringa (ISO 8601) | Timestamp di generazione del report |
Immagini dei contenitori
Gli endpoint delle immagini dei container forniscono rapporti di scansione CVE per ogni singola immagine e il monitoraggio delle misure di mitigazione tra le diverse versioni per le singole immagini dei container. Questi endpoint non hanno un elenco _index; si accede tramite il percorso completo dell'immagine.
Ottenere un report di analisi CVE dell'immagine del contenitore
L'endpoint seguente recupera un report di analisi CVE per un'immagine contenitore specifica identificata dal percorso completo dell'immagine e dal tag:
GET /api/v1/container-images/{image}:{tag}/scan-reports
Parametri di percorso:
| Parametro | Tipo | Description | Esempio |
|---|---|---|---|
image |
string | Nome completo dell'immagine incluso il registro | mcr.microsoft.com/oss/kubernetes/kube-proxy |
tag |
string | Tag immagine | v1.31.11 |
Richiesta di esempio:
curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11/scan-reports
Risposta di esempio (abbreviata):
{
"image_repo_tags": [
"mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11"
],
"image_repo_digests": [
"mcr.microsoft.com/oss/kubernetes/kube-proxy:v1.31.11@sha256:abc123..."
],
"report_time": "2026-02-20T16:12:42.081442479Z",
"active_cves": [
{
"scanner": {
"name": "trivy",
"version": "0.69.1"
},
"cves": [
{"id": "CVE-2024-13176"},
{"id": "CVE-2025-47914"}
]
}
]
}
Campi di risposta:
| Campo | Tipo | Description |
|---|---|---|
image_repo_tags |
string[] | Tag dell'immagine scansionata |
image_repo_digests |
string[] | Digest delle immagini per tutte le piattaforme supportate |
report_time |
stringa (ISO 8601) | Timestamp di generazione del report |
active_cves |
CVEList[] | CVE attive raggruppate per scanner |
Ottieni il rapporto sulle misure di mitigazione CVE relative all'immagine del container
Il seguente endpoint recupera un report di mitigazione delle CVE per un repository specifico di immagini di container e mostra quali CVE sono state rilevate in quali versioni e release dei componenti e in quali versioni e release sono state mitigate:
GET /api/v1/container-images/{image}/mitigation-reports
Parametri di percorso:
| Parametro | Tipo | Description | Esempio |
|---|---|---|---|
image |
string | Nome completo dell'immagine, incluso il Registro di sistema (senza tag) | mcr.microsoft.com/oss/kubernetes/kube-proxy |
Richiesta di esempio:
curl -s https://cve-api.prod-aks.azure.com/api/v1/container-images/mcr.microsoft.com/oss/kubernetes/kube-proxy/mitigation-reports
Risposta di esempio (abbreviata):
{
"container_image": "mcr.microsoft.com/oss/kubernetes/kube-proxy",
"mitigations": [
{
"cve": {"id": "CVE-2023-2253"},
"seen_in_component_versions": ["v1.27.102-akslts"],
"seen_in_aks_release_versions": [],
"seen_in_aks_k8s_release_versions": [],
"seen_in_vhd_release_versions": ["AKSAzureLinux-gen1/202507.02.0"],
"mitigated_in_component_versions": [],
"mitigated_in_aks_release_versions": [],
"mitigated_in_aks_k8s_release_versions": [],
"mitigated_in_vhd_release_versions": []
}
]
}
Campi di risposta:
| Campo | Tipo | Description |
|---|---|---|
container_image |
string | Nome dell'immagine senza etichetta |
mitigations |
CVEMitigation[] | Misure di mitigazione CVE per questa immagine |
Pacchetti del sistema operativo VHD
Gli endpoint dei pacchetti del sistema operativo VHD forniscono rapporti di scansione CVE specifici per ciascun pacchetto e il monitoraggio delle misure di mitigazione tra le diverse versioni per i singoli pacchetti del sistema operativo installati nelle immagini dei nodi VHD. Questi endpoint non hanno un elenco _index; la navigazione avviene tramite il nome del pacchetto.
Ottenere il report di analisi CVE del pacchetto del sistema operativo VHD
L'endpoint seguente recupera un report di analisi CVE per una versione specifica del pacchetto del sistema operativo installato nelle immagini del nodo VHD:
GET /api/v1/vhd-packages/{name}/{version}/scan-reports
Parametri di percorso:
| Parametro | Tipo | Description | Esempio |
|---|---|---|---|
name |
string | Nome del pacchetto del sistema operativo (minuscolo) | openssl |
version |
string | Versione del pacchetto | 3.0.2-0ubuntu1.20 |
Richiesta di esempio:
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/3.0.2-0ubuntu1.20/scan-reports
Risposta di esempio:
{
"name": "openssl",
"version": "3.0.2-0ubuntu1.20",
"active_cves": [
{"id": "CVE-2025-15467"},
{"id": "CVE-2025-68160"}
],
"report_time": "2026-02-20T16:14:09.253455099Z"
}
Campi di risposta:
| Campo | Tipo | Description |
|---|---|---|
name |
string | Nome del pacchetto |
version |
string | Versione del pacchetto |
active_cves |
CVE[] | CVE attivi con correzioni disponibili |
report_time |
stringa (ISO 8601) | Timestamp di generazione del report |
Ottenere il report di mitigazione CVE del pacchetto del sistema operativo VHD
L'endpoint seguente recupera un report di mitigazione delle CVE per uno specifico pacchetto del sistema operativo e mostra quali CVE sono state rilevate in quali versioni del pacchetto e release VHD, e in quali versioni sono state mitigate:
GET /api/v1/vhd-packages/{name}/mitigation-reports
Parametri di percorso:
| Parametro | Tipo | Description | Esempio |
|---|---|---|---|
name |
string | Nome del pacchetto del sistema operativo (minuscolo) | openssl |
Richiesta di esempio:
curl -s https://cve-api.prod-aks.azure.com/api/v1/vhd-packages/openssl/mitigation-reports
Risposta di esempio (abbreviata):
{
"package_name": "openssl",
"mitigations": [
{
"cve": {"id": "CVE-2025-15467"},
"seen_in_component_versions": ["3.3.3-2.azl3", "3.3.3-3.azl3"],
"seen_in_aks_release_versions": [],
"seen_in_aks_k8s_release_versions": [],
"seen_in_vhd_release_versions": ["AKSAzureLinuxV3-gen1/202507.02.0"],
"mitigated_in_component_versions": [],
"mitigated_in_aks_release_versions": [],
"mitigated_in_aks_k8s_release_versions": [],
"mitigated_in_vhd_release_versions": []
}
]
}
Campi di risposta:
| Campo | Tipo | Description |
|---|---|---|
package_name |
string | Nome del pacchetto del sistema operativo |
mitigations |
CVEMitigation[] | Voci relative alla mitigazione delle CVE per questo pacchetto |
Modelli di dati
Le sezioni seguenti descrivono i modelli di dati restituiti dall'API dati della vulnerabilità del servizio Azure Kubernetes, tra cui la struttura delle voci CVE, i riferimenti alle immagini del contenitore, i componenti di versione del servizio Azure Kubernetes, i pacchetti del sistema operativo VHD e le relazioni tra di essi.
CVE
Il modello di dati CVE è un identificatore Common Vulnerabilities and Exposures.
| Campo | Tipo | Description |
|---|---|---|
id |
string | IDENTIFICATORE CVE (ad esempio, "CVE-2024-13176", "GHSA-2464-8j7c-4cjm") |
ContainerImages
Il modello di dati ContainerImages rappresenta un insieme di riferimenti a immagini di container, inclusi sia i tag leggibili dall'uomo sia i digest indirizzabili in base al contenuto.
| Campo | Tipo | Description |
|---|---|---|
image_repo_tags |
string[] | Tag immagine (ad esempio, "mcr.microsoft.com/oss/kubernetes/coredns:v1.9.4-9") |
image_repo_digests |
string[] | I digest delle immagini per tutte le piattaforme supportate (ad esempio, "mcr.microsoft.com/oss/kubernetes/coredns:v1.9.4-9@sha256:abc...") |
Note
I digest includono tutte le varianti della piattaforma Linux (amd64, arm64) da manifesti multi-arch. In questo modo è possibile associare i dati CVE indipendentemente dal digest specifico della piattaforma di cui è stato eseguito il pull del nodo.
AKSReleaseContainerTarget
Il modello di dati AKSReleaseContainerTarget rappresenta un componente contenitore all'interno di una versione specifica del servizio Azure Kubernetes, identificato dallo spazio dei nomi dei pod e dal nome del contenitore in cui viene eseguito, insieme alle immagini del contenitore usate e alle CVE che ne influiscono.
| Campo | Tipo | Description |
|---|---|---|
pod_namespace |
string | Spazio dei nomi Kubernetes (ad esempio, "kube-system", "calico-system") |
container_name |
string | Nome del contenitore (ad esempio, "coredns", "calico-node") |
active_container_images |
ContainerImages | Immagini dei container attualmente in esecuzione per questo componente |
active_cves |
CVE[] | CVE con correzioni attualmente disponibili che interessano questo componente |
removed_container_images_from_previous_release |
ContainerImages | Immagini che erano presenti nella versione precedente ma non sono più in esecuzione |
mitigated_cves_from_previous_release |
CVE[] | CVE che erano presenti nella versione precedente ma che sono state corrette in questa versione |
AKSK8SContainerTarget
Il modello di dati AKSK8SContainerTarget rappresenta un'immagine del contenitore associata a una versione specifica di Kubernetes, inclusi i riferimenti alle immagini con tag e i digest per tale immagine e i CVEs che lo interessano.
| Campo | Tipo | Description |
|---|---|---|
container_image |
string | Nome immagine senza tag (ad esempio, "mcr.microsoft.com/oss/kubernetes/kube-apiserver") |
active_container_images |
ContainerImages | Riferimenti alle immagini contrassegnate e riepiloghi |
active_cves |
CVE[] | CVE attivi con correzioni disponibili |
AKSVHDContainerTarget
Il modello di dati AKSVHDContainerTarget rappresenta un'immagine del contenitore inclusa in un'immagine del nodo VHD, insieme ai riferimenti alle immagini contrassegnate, ai digest e alle CVE che lo interessano.
| Campo | Tipo | Description |
|---|---|---|
container_image |
string | Nome dell'immagine senza etichetta |
active_container_images |
ContainerImages | Riferimenti alle immagini contrassegnate e riepiloghi |
active_cves |
CVE[] | CVE attivi con correzioni disponibili |
removed_container_images_from_previous_release |
ContainerImages | Immagini rimosse dal precedente rilascio VHD |
mitigated_cves_from_previous_release |
CVE[] | CVE corretti dalla versione VHD precedente |
AKSVHDOSPackageTarget
Il modello di dati AKSVHDOSPackageTarget rappresenta un pacchetto a livello di sistema operativo installato in un'immagine del nodo VHD, insieme alla versione installata, alle CVE che lo interessano ed eventuali modifiche apportate alla versione precedente del disco rigido virtuale.
| Campo | Tipo | Description |
|---|---|---|
name |
string | Nome pacchetto (ad esempio, "kernel", "containerd", "systemd") |
version |
string | Versione del pacchetto (ad esempio, "6.1.109.2-1.cm2") |
active_cves |
CVE[] | CVE attivi con correzioni disponibili |
previous_version |
string | Versione della precedente versione VHD (vuota se invariata) |
mitigated_cves_from_previous_release |
CVE[] | CVE corretti dalla versione VHD precedente |
CVEScanner
Il modello di dati CVEScanner rappresenta i metadati per uno scanner di vulnerabilità che produce risultati di analisi CVE per le immagini del contenitore.
| Campo | Tipo | Description |
|---|---|---|
name |
string | Nome scanner (ad esempio, "trivy") |
version |
string | Versione dello scanner (ad esempio, "0.69.1") |
CVEList
Il modello di dati CVEList rappresenta un set di CVE rilevati da un particolare scanner di vulnerabilità per una determinata immagine del contenitore. Ogni voce associa i metadati dello scanner all'elenco delle CVE rilevate.
| Campo | Tipo | Description |
|---|---|---|
scanner |
CVEScanner | Scanner che ha prodotto questi risultati |
cves |
CVE[] | CVE rilevate da questo scanner |
CVEMitigation
Il modello di dati CVEMitigation tiene traccia di un singolo CVE tra le versioni dei componenti e i tipi di versione, mostrando dove è stato osservato e dove è stato mitigato.
| Campo | Tipo | Description |
|---|---|---|
cve |
CVE | Il CVE monitorato |
seen_in_component_versions |
string[] | Versioni dei componenti (tag immagine o versioni del pacchetto) in cui è stato rilevato questo CVE |
seen_in_aks_release_versions |
string[] | Versioni di rilascio di AKS in cui è stato rilevato questo CVE |
seen_in_aks_k8s_release_versions |
string[] | Versioni di rilascio di Kubernetes in cui è stato rilevato questo CVE |
seen_in_vhd_release_versions |
string[] | Versioni di rilascio di VHD in cui è stato rilevato questo CVE |
mitigated_in_component_versions |
string[] | Versioni dei componenti in cui è stato corretto questo CVE |
mitigated_in_aks_release_versions |
string[] | Versioni di rilascio di AKS in cui è stata corretta questa CVE |
mitigated_in_aks_k8s_release_versions |
string[] | Versioni di Kubernetes in cui questa CVE è stata corretta |
mitigated_in_vhd_release_versions |
string[] | Versioni di rilascio di VHD in cui questa CVE è stata corretta |
Monitoraggio Delta
I report di rilascio di AKS e VHD includono campi delta che confrontano la versione corrente con quella precedente:
-
mitigated_cves_from_previous_release: CVE presenti nella versione precedente, ma non vengono più rilevate. Ciò significa che la vulnerabilità è stata risolta (ad esempio, tramite un aggiornamento della versione del componente). -
removed_container_images_from_previous_release: Immagini dei container che funzionavano nella versione precedente ma che non sono presenti in quella attuale.
Note
I report di versione di Kubernetes non includono campi delta.
Riepiloghi multi-architettura
Ogni immagine del contenitore può includere più riferimenti di digest relativi a diverse architetture CPU (amd64, arm64). L'API include tutti i digest della piattaforma Linux dai manifest multi-architettura, così è possibile correlare i dati CVE indipendentemente dallo specifico digest della piattaforma scaricato dal nodo.
Formati delle versioni del report
I report dell'API dei dati sulle vulnerabilità di AKS utilizzano schemi di versioning diversi a seconda del tipo di rilascio riportato. La tabella seguente riassume i formati utilizzati per le release di AKS, le versioni di Kubernetes e le release VHD:
| Tipo di versione | Formato | Esempio |
|---|---|---|
| Rilascio di AKS (Azure Kubernetes Service) | v{YYYYMMDD} |
v20260104 |
| Versione di Kubernetes | Semver | 1.33.2 |
| Versione VHD | {distro}/{YYYYMM.DD.patch} |
AKSAzureLinux-gen2/202512.06.0 |
Contenuti correlati
Per altre informazioni sull'API dei dati sulle vulnerabilità di AKS, vedi Panoramica dell'API dei dati sulle vulnerabilità per Servizio Azure Kubernetes (AKS).