Betroffen ist die IT-Service-Management-Lösung Ivanti Neurons for ITSM. Die Anwendung prüft an einer Stelle nicht ausreichend, ob ein angemeldeter Nutzer für die aufgerufene Funktion überhaupt berechtigt ist – es fehlt also eine Autorisierungskontrolle. Ein Angreifer, der über einen gültigen Zugang zum System verfügt, kann diese Lücke aus der Ferne ausnutzen und dadurch eigenen Programmcode auf dem Server ausführen. Damit überschreitet er die ihm eigentlich zugewiesenen Rechte deutlich und kann den Server unter seine Kontrolle bringen, Daten auslesen oder verändern und sich gegebenenfalls weiter im Netzwerk ausbreiten. Voraussetzung ist lediglich ein authentifiziertes Konto; besondere Administratorrechte oder eine Mitwirkung anderer Nutzer sind nicht erforderlich. Da ITSM-Systeme zentrale Verwaltungsaufgaben übernehmen und häufig mit weiteren Diensten verbunden sind, wiegt eine solche Übernahme besonders schwer.