La gestión remota del servidor «pserver» del CVS (que se usa para dar acceso a los almacenes CVS remotos) usa un archivo CVSROOT/passwd en cada almacén, que tiene las cuentas e información de la identificación así como el nombre de la cuenta local unix correspondiente a la de pserver. Como CVS no realizaba comprobaciones sobre qué cuenta unix se especificaba, cualquiera que pudiera modificar CVSROOT/passwd podría obtener acceso a todos los usuarios locales del servidor CVS, incluyendo root.
Esta incidencia se ha corregido en la versión original 1.11.11, evitando que pserver corra como root. Para Debian, este problema se ha soluciado en la versión 1.11.1p1debian-9 de dos formas diferentes:
Además, el servidor «pserver» CVS tenía un error en las peticiones de análisis de peticiones de módulos, que se podría usar para crear archivos y directorios fuera del almacén. Esto se ha corregido en la versión original 1.11.11 y en la versión de Debian 1.11.1p1debian-9.
Por último, la máscara «umask» que se usaba en “cvs init” y “cvs-makerepos” se ha cambiado para evitar que se creen almacenes con permisos de escritura para el grupo.
Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.