Die Schwachstelle steckt in der UEFI-Shell von Cisco UCS Servern und darauf basierenden Appliances. Die UEFI-Shell stellt auch dann Befehle zum direkten Beschreiben des Speichers bereit, wenn UEFI Secure Boot aktiviert ist – also jene Schutzfunktion, die sicherstellen soll, dass beim Start nur signierte, vertrauenswürdige Software geladen wird. Ein Angreifer kann beim Hochfahren des Geräts die UEFI-Shell als Startoption auswählen und mit den dort verfügbaren Befehlen UEFI-Speichervariablen verändern. Dadurch lassen sich die für Secure Boot maßgeblichen Werte überschreiben, die Preboot-Umgebung manipulieren und nicht autorisierte Software ausführen. Ausnutzbar ist dies entweder durch einen angemeldeten Nutzer mit gültigen Zugangsdaten – wobei bereits ein Konto mit einfacher Benutzerrolle genügt – oder durch einen Angreifer ohne Zugangsdaten, der physischen Zugriff auf das Gerät hat. Da der Angriff unterhalb des Betriebssystems ansetzt, kann eingeschleuster Code von Schutzsoftware im laufenden System kaum erkannt werden.