Die Schwachstelle betrifft libcurl, die weit verbreitete Programmbibliothek für Datenübertragungen über Netzwerkprotokolle. Sie zeigt sich bei TLS-gesicherten Übertragungen, wenn ein wiederverwendetes Verbindungs-Handle (einfaches oder Multi-Handle) zum Einsatz kommt und dabei die Einstellung zum Umgang mit unvollständigen Zertifikatsketten umgeschaltet wird. In diesem Fall kann libcurl versehentlich einen bereits im Speicher zwischengespeicherten Speicher des Zertifikatsspeichers (CA-Store) weiterverwenden, der noch mit der entgegengesetzten Einstellung angelegt wurde. Dadurch wendet die Bibliothek nicht die vom Aufrufer gewünschte Prüfregel an, sondern die zuvor gültige. Die praktische Folge: libcurl akzeptiert unter Umständen eine Vertrauenskette, die es bei korrekter Beachtung der gesetzten Option zurückgewiesen hätte. Die eigentlich verschärfte Zertifikatsprüfung greift also nicht wie beabsichtigt, was die Sicherheit der TLS-Verbindung schwächt und entgegen der ausdrücklichen Erwartung des aufrufenden Programms eine eigentlich unzulässige Zertifikatskette als vertrauenswürdig durchgehen lassen kann.