Die Schwachstelle steckt im Hilfsprogramm dropbearconvert von Dropbear SSH, einer schlanken SSH-Implementierung, die häufig auf eingebetteten Systemen und Netzwerkgeräten eingesetzt wird. Das Werkzeug dient dazu, Schlüsseldateien zwischen verschiedenen Formaten umzuwandeln. Beim Einlesen einer speziell präparierten OpenSSH-Schlüsseldatei verarbeitet das Programm die Eingabedaten fehlerhaft, sodass ein Angreifer die Ausführung beliebigen Codes erreichen kann. Der Angriff läuft also über eine manipulierte Datei: Wird sie von dropbearconvert verarbeitet, führt das Programm den vom Angreifer eingebrachten Code mit den Rechten des ausführenden Kontos aus. Betroffen sind Systeme, auf denen eine ältere Dropbear-Version installiert ist und auf denen Schlüsseldateien aus nicht vertrauenswürdiger Quelle konvertiert werden – etwa bei automatisierten Migrations- oder Verwaltungsvorgängen.