Die Schwachstelle steckt im Netzwerk-Code des Linux-Kernels, genauer in der Verwaltung sogenannter Socket-Puffer (skbuff), über die der Kernel Netzwerkpakete zwischenspeichert und weiterreicht. Beim Verschieben von Paketfragmenten zwischen zwei Puffern versäumen mehrere Hilfsfunktionen, eine interne Markierung mitzuführen, die kennzeichnet, dass die zugrunde liegenden Speicherseiten gemeinsam genutzt oder von außen verwaltet werden. Dadurch verweist der Zielpuffer weiterhin auf dieselben fremden Speicherseiten, meldet aber fälschlich, dass keine geteilten Fragmente vorliegen. Komponenten, die anhand dieser Markierung entscheiden, ob geteilte Seiten vor dem Überschreiben zunächst kopiert werden müssen, treffen daraufhin eine falsche Entscheidung und schreiben direkt in fremden Speicher. Betroffen ist unter anderem die ESP-Verarbeitung der IPsec-Verschlüsselung: Über eine passend gesetzte Paket-Duplizierungsregel lässt sich ein derart präparierter Puffer dorthin lenken. Im Ergebnis kann ein unprivilegierter Nutzer in den Seiten-Cache einer nur lesbar und dem Systemverwalter gehörenden Datei schreiben.