Die Schwachstelle betrifft die Java-Kryptografiebibliothek Bouncy Castle sowie deren LTS- und FIPS-Ausgaben. Beim Einlesen von Datenstrukturen mit angegebener Längenangabe reserviert die Bibliothek den benötigten Speicher vorab und verlässt sich dabei ungeprüft auf die im Datenstrom angegebene Länge – eine Obergrenze wird nicht durchgesetzt. Ein Angreifer, der manipulierte Eingabedaten mit einer übertrieben großen Längenangabe einschleust, kann die Anwendung damit veranlassen, sofort sehr große Speichermengen anzufordern. In der Folge kann der verfügbare Arbeitsspeicher erschöpft werden, was zu einem Speicherfehler und zum Absturz beziehungsweise zur Nichtverfügbarkeit der betroffenen Anwendung führt. Betroffen sind damit vor allem Dienste, die Bouncy Castle zum Verarbeiten von Zertifikaten, Schlüsselmaterial oder anderen kodierten Strukturen aus nicht vertrauenswürdigen Quellen einsetzen.