Zarządca konta (account management) CVS pserver (używany przy przydzielaniu dostępu do repezytorium CVS osobom z zewnątrz) używa pliku CVSROOT/passwd w każdym repezytorium który zawiera konta i ich informacje autentyfikacyjne, a także nazwę lokalnego konta uniksowego używanego przy wykorzystywaniu konta pserver. Ponieważ CVS nie wykonuje sprawdzania jakie zostało wyszczególnione konto uniksowe, każdy kto może modyfikować CVSROOT/passwd może też uzyskać dostęp do wszystkich lokalnych użytkowników na serwerze CVS włącznie z kontem root.
Problem został rozwiązany w zewnętrznej wersji 1.11.11 poprzez uniemożliwenie rootowi na działanie na pserver. W przypadku Debiana problem rozwiązano w wersji 1.11.1p1debian-9 na dwa różne sposoby:
Dodatkowo CVS pserver miał błąd w module parsowania żądań, który mógł być użyty do stworzenia plików i katalogów poza repezytorium. Zostało to wyeliminowane w zewnętrznej wersji 1.11.11, a w Debianie w wersji 1.11.1p1debian-9.
Na koniec, zmieniono umask używany dla “cvs init” i “cvs-makerepos” aby zabezpieczyć repezytoria przed możliwością stworzenia ich z prawami zapisu grupy.
Sumy kontrolne MD5 wymienionych plików dostępne są w oryginalnej poradzie.