Kubernetes verbessert den offiziellen CVE-Feed: Was Entwickler wissen sollten

Seit der Einführung des automatisch aktualisierenden offiziellen CVE-Feeds als Alpha-Funktion in der Version 1.25 haben wir bedeutende Verbesserungen und Updates vorgenommen. Wir freuen uns, die Veröffentlichung der Beta-Version des Feeds bekannt zu geben. In diesem Blogbeitrag werden wir das erhaltene Feedback, die vorgenommenen Änderungen und die Möglichkeiten zur Unterstützung besprechen, während wir uns darauf vorbereiten, dies in einer zukünftigen Kubernetes-Version zu einer stabilen Funktion zu machen.

Feedback von Endbenutzern

Das SIG Security-Team erhielt einige Rückmeldungen von Endbenutzern:

Der JSON CVE Feed entsprach nicht der JSON Feed-Spezifikation, wie es der Name vermuten lässt.
Der Feed könnte zusätzlich zum JSON Feed-Format auch RSS unterstützen.
Einige Metadaten könnten hinzugefügt werden, um die Frische des Feeds insgesamt oder bestimmter CVEs anzuzeigen. Ein weiterer Vorschlag war, anzuzeigen, welcher Prow-Job den Feed zuletzt aktualisiert hat. Weitere Ideen finden Sie direkt im Hauptproblem.
Die Markdown-Tabelle des Feeds auf der Website sollte sortiert werden, von den zuletzt angekündigten zu den am wenigsten kürzlich angekündigten CVEs.

Zusammenfassung der Änderungen

Als Reaktion darauf hat das SIG ein Überarbeitungsskript für die Generierung des JSON-Feeds erstellt, um der JSON Feed-Spezifikation zu entsprechen und ein last_updated-Wurfeld hinzuzufügen, um die allgemeine Frische anzuzeigen. Dieses Redesign erforderte eine entsprechende Korrektur auf der Kubernetes-Website, damit die CVE-Feed-Seite weiterhin mit dem neuen Format funktioniert.

Danach konnte die RSS-Feed-Unterstützung transparent hinzugefügt werden, sodass Endbenutzer den Feed in ihrem bevorzugten Format konsumieren können.

Insgesamt wird das Redesign auf Basis der JSON Feed-Spezifikation, das diesmal die Abwärtskompatibilität verletzte, zukünftige Updates ermöglichen, um die restlichen Probleme zu adressieren, während es transparenter und weniger störend für Endbenutzer ist.

Die kontinuierliche Verbesserung des CVE-Feeds ist ein weiterer Schritt in Richtung einer sichereren und benutzerfreundlicheren Kubernetes-Umgebung. Bei ayedo arbeiten wir eng mit der Kubernetes-Community zusammen, um sicherzustellen, dass solche Entwicklungen auch in der Praxis effektiv umgesetzt werden.

Quelle: Kubernetes Blog