Die Kontenverwaltung des pservers von CVS (der entfernten Zugriff auf CVS-Depots ermöglicht) verwendet die Datei CVSROOT/passwd aus jedem Depot, das die Konten- und Authentifizierungsinformationen sowie den Namen des lokal verwendeten Unix-Kontos enthält, das für das pserver-Konto verwendet wird. Da CVS keine Prüfung durchführt, welches Unix-Konto angegeben ist, könnte jeder, der CVSROOT/passwd ändern kann, Zugriff auf alle lokalen Benutzer auf dem CVS-Server erhalten, inklusive root.
Dies wurde in der Upstream-Version 1.11.11 geändert, indem es unterbunden wurde, dass pserver als root läuft. Für Debian wurde dieses Problem in Version 1.11.1p1debian-9 auf zwei Arten gelöst:
Zusätzlich hatte CVS-pserver einen Fehler in der Verarbeitung von Modul-Anfragen, der verwendet werden könnte, um Dateien und Verzeichnisse außerhalb eines Depots zu erstellen. Dies wurde Upstream in Version 1.11.11 und in der Debian-Version 1.11.1p1debian-9 behoben.
Zu guter Letzt wurde die umask geändert, die für »cvs init« und »cvs-makerepos« verwendet wurde, um zu verhindern, dass Depots mit Gruppenschreibrechten erstellt werden.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.