Kontohanteringen i CVS-pserver (vilket används för att ge användare utifrån tillgång till cvs-arkiv) använder filen CVSROOT/passwd i cvs-arkivet till att lista konton och deras autentiseringsinformation, såväl som namnet på det lokala Unixkonto som används för pserverkontot. Eftersom CVS inte utförde någon kontroll av vilket Unixkonto som angavs kunde alla med möjlighet att ändra CVSROOT/passwd få tillgång till alla lokala användare på cvs-servern, inklusive root.
Detta har rättats i uppströmsversion 1.11.11 genom att förhindra pserver från att köra som root. För Debian har problemet lösts i version 1.11.1p1debian-9 på två olika sätt:
Dessutom hade CVS-pserver ett fel i tolkningen av modulförfrågningar, vilket kunde användas för att skapa filer och kataloger utanför ett arkiv. Detta har rättats uppströms i version 1.11.11 och i Debianversion 1.11.1p1debian-9.
Slutligen har umask ändrats för ”cvs init” och ”cvs-makerepos” för att förhindra att arkiv skapas med skrivbehörighet för gruppen.
MD5-kontrollsummor för dessa filer finns i originalbulletinen.