Die Schwachstelle betrifft FreeIPA, eine Lösung zur zentralen Identitäts- und Domänenverwaltung unter Linux. Ursache ist eine unzureichende Eindeutigkeitsprüfung für Kerberos-Prinzipalnamen im zugrunde liegenden Verzeichnisdienst: Die Bedingung, dass jeder Prinzipalname nur einmal vorkommen darf, berücksichtigt nicht, dass derselbe Name in unterschiedlichen, aber gleichwertigen Schreibweisen dargestellt werden kann. Ein Benutzer, der über ausreichende Schreibrechte im Verzeichnis verfügt, kann dadurch ein Dienstkonto anlegen, dessen Prinzipalname einem bereits vorhandenen, privilegierten Dienst entspricht, und diesen so imitieren. In der Folge lassen sich Kerberos-Diensttickets für sensible Dienste unberechtigt erlangen. Da Kerberos in solchen Umgebungen die zentrale Vertrauensbasis für die Anmeldung an Diensten bildet, kann dies bis zur vollständigen Übernahme der Domäne führen – ein authentifizierter Nutzer mit begrenzten Rechten steigt damit effektiv zum Domänenadministrator auf.