search

dnum-mi / basegun

Web app for identifying a firearm based on a picture
https://basegun.interieur.gouv.fr/
Eclipse Public License 2.0
13 stars 0 forks source link

CONF10_Lancement du service uvicorn non adapte en production #412

Open ClemGerard opened 3 months ago

ClemGerard commented 3 months ago

<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:x="urn:schemas-microsoft-com:office:excel" xmlns="http://www.w3.org/TR/REC-html40">

Priorité de mise en œuvre | Complexité de mise en œuvre -- | -- COURT TERME | MOYENNE

Constat

Le service uvicorn sur le conteneur de backend est lancé avec le mode “reload”, ce qui n’est pas recommandé pour une exécution en production. Ce mode est considéré comme moins stable et plus consommateur de ressources.

Risque

Un attaquant pourrait tirer profit de l’instabilité du mode “reload” et de sa consommation de ressources afin de générer un grand nombre de requêtes sur le backend et tenter de générer un déni de service.

Tasks

thomashbrnrd commented 3 months ago

Cette affirmation me semble fausse, voici la command lancée en production : 

  command: 
    - uvicorn
    - --workers=2
    - --host=0.0.0.0
    - --port=5000
    - --no-server-header
    - src.main:app