Die Schwachstelle steckt in der Wait-Funktion der API von NASA AIT-Core, einem Software-Baukasten zur Steuerung und Überwachung von Raumfahrt- und Bodensystemen. Die Funktion verarbeitet übergebene Zeichenketten, ohne deren Inhalt ausreichend zu prüfen, und wertet sie als ausführbaren Code aus. Ein Angreifer, der eine speziell präparierte Zeichenkette an diese Schnittstelle übergeben kann, bringt das System dazu, beliebige eigene Befehle auszuführen. Damit erlangt er die Kontrolle über den betroffenen Prozess und kann je nach dessen Rechten Daten auslesen, verändern oder weitere Aktionen auf dem System durchführen. Betroffen sind Installationen, bei denen die API für Eingaben von außen oder für nicht vollständig vertrauenswürdige Nutzer erreichbar ist – gerade in Umgebungen zur Missions- und Telemetrieverarbeitung wiegt eine solche Code-Ausführung schwer, weil dort Steuerbefehle und sensible Betriebsdaten zusammenlaufen.