Le système de gestion des comptes du pserveur CVS (qui est utilisé pour donner à des utilisateurs distants accès aux entrepôts CVS) utilise un fichier CVSROOT/passwd dans chaque entrepôt, contenant les comptes et leurs informations d'authentification, ainsi que le nom du compte Unix local à utiliser lors de l'utilisation d'un compte pserveur. Comme CVS ne vérifiait pas quel compte Unix était spécifié, toute personne à même de modifier CVSROOT/passwd pouvait obtenir un accès à tous les utilisateurs locaux du serveur CVS, y compris le superutilisateur.
Ce problème a été corrigé dans la version amont 1.11.11 en empêchant le pserveur de tourner en tant que superutilisateur. Pour Debian, ce problème a été corrigé dans la version 1.11.1p1debian-9 de deux façons différentes :
De plus, le pserveur CVS avait un bogue dans la lecture des requêtes sur des modules, qui pouvait être utilisé pour créer des fichiers et des répertoires à l'extérieur d'un entrepôt. Ce problème a été corrigé dans la version amont 1.11.11 et dans la version 1.11.1p1debian-9 pour Debian.
Enfin, le masque utilisé pour « cvs init » et « cvs-makerepos » a été modifié afin que les entrepôts ne soient pas créés avec des permissions d'écriture pour le groupe.
Les hachés MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.