Die Schwachstelle betrifft die Dateitransfer-Software SolarWinds Serv-U. Sie beruht auf einer unsicheren direkten Objektreferenz (Insecure Direct Object Reference, IDOR): Die Anwendung prüft nicht ausreichend, ob ein Benutzer tatsächlich berechtigt ist, auf ein über einen Bezeichner angesprochenes internes Objekt zuzugreifen. Dadurch kann ein Angreifer auf Ressourcen zugreifen, die eigentlich außerhalb seines Zuständigkeitsbereichs liegen. Im Ergebnis lassen sich die eigenen Rechte ausweiten und Code aus der Ferne mit Root-Rechten, also den höchsten Systemrechten, ausführen. Voraussetzung für die Ausnutzung ist, dass der Angreifer bereits über einen Zugang als Gruppenadministrator verfügt – es handelt sich also um eine Rechteausweitung aus einer eingeschränkten Verwaltungsrolle heraus zur vollständigen Kontrolle über das System. Auf Windows-Installationen fallen die möglichen Auswirkungen nach Herstellerangaben geringer aus als auf anderen Plattformen.