Die Schwachstelle liegt in V8, der JavaScript-Engine von Google Chrome. Durch einen Fehler bei der Speicherverwaltung kann die Engine beim Verarbeiten bestimmter Inhalte über die Grenzen eines vorgesehenen Speicherbereichs hinaus lesen und schreiben. Auslösen lässt sich das über eine speziell präparierte HTML-Seite: Es genügt, dass ein Nutzer eine solche Webseite im Browser öffnet. Ein Angreifer aus der Ferne kann auf diese Weise eigenen Programmcode ausführen. Die Ausführung bleibt dabei zunächst auf die Sandbox des Browsers beschränkt, also auf den abgeschotteten Bereich, in dem Chrome Webinhalte verarbeitet – ein Ausbruch daraus erfordert eine zusätzliche Lücke. Dennoch ist der Angriffsweg besonders praxisnah, weil er allein durch den Besuch einer manipulierten oder kompromittierten Website funktioniert und keine weitere Interaktion oder Anmeldung voraussetzt. Betroffen sind Nutzer des Chrome-Browsers sowie auf derselben Engine basierende Anwendungen.