Die Schwachstelle betrifft Azure Active Directory, den Verzeichnis- und Identitätsdienst von Microsoft. Fehlerhaft ist der Umgang mit Daten, die von der Software als unveränderlich vorausgesetzt werden: Solche Werte werden ohne erneute Prüfung als vertrauenswürdig behandelt, lassen sich aber tatsächlich manipulieren. Ein Angreifer, der bereits über eine gültige Berechtigung verfügt, kann diese als feststehend angenommenen Daten über das Netzwerk verändern und sich dadurch höhere Rechte verschaffen, als ihm zugewiesen sind. Da der Dienst zentral über Anmeldung und Zugriffsrechte auf angebundene Anwendungen und Ressourcen entscheidet, wirkt eine solche Rechteausweitung nicht nur lokal, sondern kann den Zugriff auf weitere damit verknüpfte Dienste und Daten öffnen.