Die Schwachstelle liegt in den Active Directory Certificate Services (AD CS), also der Zertifizierungsstellen-Komponente einer Windows-Domäne, die digitale Zertifikate für Benutzer, Geräte und Dienste ausstellt. Ursache ist eine fehlerhafte Autorisierungsprüfung: Der Dienst kontrolliert nicht ausreichend, ob ein Anfragender die angeforderte Aktion tatsächlich ausführen darf. Ein Angreifer, der bereits über gültige Zugangsdaten und einen Netzwerkzugang zur Umgebung verfügt, kann diese Lücke über das Netzwerk ausnutzen und sich dadurch höhere Berechtigungen verschaffen, als ihm zustehen. Eine vorherige Authentifizierung ist also nötig, ein direkter lokaler Zugriff auf das System dagegen nicht. Da AD CS eng mit der Identitäts- und Authentifizierungsinfrastruktur verzahnt ist, wirkt eine solche Rechteausweitung nicht nur auf den Zertifikatsdienst selbst, sondern kann Angreifern den Weg zu weitreichender Kontrolle innerhalb der Domäne öffnen.