Vulnérabilité Linux « Copy Fail » (CVE-2026-31431) : mesures appliquées chez BoxToPlay et recommandations VPS

Une nouvelle vulnérabilité du noyau Linux, CVE-2026-31431, aussi appelée « Copy Fail », a été rendue publique. Il s’agit d’une faille d’élévation locale de privilèges dans l’interface cryptographique AF_ALG, et plus précisément dans le module algif_aead.

Concrètement, cette faille peut permettre à un utilisateur local non-root, déjà capable d’exécuter du code ou des commandes sur la machine, de potentiellement obtenir des droits root.

Il est important de souligner qu’il ne s’agit pas d’une faille permettant à quelqu’un de se connecter directement à votre serveur juste parce qu’un port SSH, web ou un serveur de jeu est ouvert. L’attaquant doit déjà disposer d’un accès local ou avoir réussi à exécuter du code sur le système par un autre biais (application web vulnérable, script malveillant, identifiants compromis, etc.).

Le risque est plus élevé sur les environnements multi-utilisateurs, comme :

les infrastructures mutualisées ou partagées
les machines exécutant du code tiers (plugins, scripts, bots, etc.)
les environnements de containers (Docker/LXC)
les serveurs de jeu faisant tourner des extensions non vérifiées
les panels ou applications web pouvant exécuter des commandes système
les VPS utilisés par plusieurs utilisateurs ou exposés à du code non maîtrisé

Mesures déjà appliquées par BoxToPlay

Sur l’ensemble de notre parc géré directement (nodes de jeux, infrastructures internes, panels et services administrés par nos équipes), nous avons mis en place une mitigation temporaire contre CVE-2026-31431.

En pratique, nous avons :

bloqué le chargement du module noyau algif_aead
vérifié qu’il n’est pas présent en mémoire sur nos machines
commencé le suivi actif des noyaux Linux corrigés publiés par les distributions

Les nodes Minecraft et les autres infrastructures administrées directement par BoxToPlay sont déjà sécurisés par cette mitigation. Dès que des noyaux Linux corrigés seront publiés de manière stable par les distributions, nous planifierons et appliquerons les mises à jour définitives, avec redémarrage contrôlé si nécessaire.

Cette mitigation ne modifie pas les services courants que nous exploitons et ne constitue qu’une mesure de protection intermédiaire, en attendant l’installation des noyaux corrigés.

Spécificités pour les clients VPS

Les VPS proposés par BoxToPlay sont des environnements isolés, dont la gestion interne (système, paquets, sécurité à l’intérieur du VPS) est sous la responsabilité du client.

Nous ne pouvons pas intervenir automatiquement à l’intérieur de vos VPS (installation de paquets, modification de configuration, redémarrage) sans votre accord explicite et sans accès.

Si vous utilisez un VPS Linux, nous vous recommandons fortement :

d’appliquer vous-même la mitigation temporaire, ou
de mettre à jour votre noyau Linux dès qu’un correctif est disponible via votre distribution

Les indications ci-dessous concernent les distributions de type Debian / Ubuntu.

Mettre en place la mitigation temporaire (Ubuntu / Debian)

L’objectif est d’empêcher le chargement du module algif_aead et de s’assurer qu’il n’est plus en mémoire.

Créez un fichier de configuration pour désactiver algif_aead.
Déchargez le module s’il est déjà chargé.
Vérifiez qu’il n’apparait plus dans la liste des modules.

Exemple de session (les sorties sont illustratives) :

root@demo-vps:~# sudo sh -c 'printf "install algif_aead /bin/false\nblacklist algif_aead\n" > /etc/modprobe.d/disable-algif.conf'
root@demo-vps:~# sudo rmmod algif_aead 2>/dev/null || true
root@demo-vps:~# lsmod | grep algif_aead
root@demo-vps:~# _

Interprétation :

Si la commande lsmod | grep algif_aead ne retourne rien, la mitigation est active.
Si algif_aead apparaît toujours dans la sortie de lsmod, nous vous recommandons de redémarrer le VPS après avoir créé le fichier /etc/modprobe.d/disable-algif.conf, puis de vérifier à nouveau.

Cette mitigation ne devrait normalement pas impacter les usages classiques comme :

connexions SSH
utilisation de sudo
exécution d’applications comme Java
services web Apache ou Nginx
bases de données comme MySQL ou services similaires

Elle peut en revanche impacter des applications très spécifiques qui utilisent directement l’interface crypto AF_ALG, ce qui reste rare pour les usages classiques d’un serveur VPS.

Installer le correctif définitif (mise à jour du noyau)

La correction définitive consiste à installer un noyau Linux corrigé fourni par votre distribution, puis à redémarrer votre VPS pour démarrer sur ce nouveau noyau.

Sur Debian / Ubuntu, une procédure classique peut ressembler à l’exemple suivant (sortie abrégée) :

root@demo-vps:~# sudo apt update
Get:1 http://... focal InRelease [265 kB]
Get:2 http://... focal-updates InRelease [120 kB]
...
Reading package lists... Done

root@demo-vps:~# sudo apt full-upgrade
Reading package lists... Done
Building dependency tree
...
The following packages will be upgraded:
  linux-image-generic linux-headers-generic ...
Do you want to continue? [Y/n] y
...

root@demo-vps:~# sudo reboot
Connection to demo-vps closed by remote host.
Connection to demo-vps closed.

Points importants :

installez les mises à jour proposées par votre distribution, en particulier les paquets linux-image / linux-headers si un nouveau noyau est disponible
un redémarrage du VPS est indispensable après l’installation d’un noyau corrigé pour qu’il soit réellement utilisé

Nous vous invitons à consulter la documentation de votre distribution pour connaître l’état de disponibilité des correctifs et, si besoin, à planifier ce redémarrage sur un créneau adapté à votre activité.

Besoin d’aide ?

Notre équipe reste mobilisée sur ce sujet et continuera à suivre la disponibilité des correctifs côté noyau Linux afin de maintenir nos infrastructures à jour.

Si vous avez un VPS BoxToPlay et que vous n’êtes pas sûr de la démarche à suivre, ou si vous avez des questions sur l’impact potentiel dans votre cas, vous pouvez ouvrir un ticket support depuis votre panel. Nous pourrons vous guider pas à pas pour vérifier la mitigation, planifier la mise à jour du noyau ou analyser une configuration plus complexe.

Chez BoxToPlay, nous accordons une grande importance à la fiabilité et à la sécurité de votre hébergement VPS.

Pour lancer vos projets dans les meilleures conditions, vous pouvez dès maintenant tester notre hébergement VPS et profiter de ressources performantes pour vos applications : Lancez votre serveur gratuitement.

Rejoignez la discussion

Laisser un commentaire