Система управления учётными записями сервера pserver CVS (используемого для удалённого доступа к репозиториям CVS) использует файл CVSROOT/passwd репозитория, содержащий учётные записи и информацию для авторизации, а также имя локальной учётной записи unix, задействуемой при использовании учётной записи pserver. Поскольку CVS не производит проверку того, какая учётная запись unix задана, любой, кто может изменять содержимое файла CVSROOT/passwd, может получить доступ ко всем локальным пользователям сервера CVS, включая пользователя root.
Это исправлено автором в версии 1.11.11 путём запрета запуска pserver от имени пользователя root. В Debian проблема решена в версии 1.11.1p1debian-9 двумя различными способами:
Кроме того, сервер pserver CVS содержит ошибку в коде разбора запросов модулей, которая может быть использована для создания файлов и каталогов за пределами репозитория. Это исправлено авторами исходного кода в версии 1.11.11, а в пакете Debian — в версии 1.11.1p1debian-9.
Наконец, изменена маска umask, используемая при выполнении команд “cvs init” и “cvs-makerepos”. Теперь запрещено создание репозиториев с правами записи группы.
Контрольные суммы MD5 этих файлов доступны в исходном сообщении.