Die Schwachstelle liegt in Microsoft Defender und beruht auf einem Integer-Überlauf: Eine Berechnung überschreitet den zulässigen Zahlenbereich und läuft über, wodurch die Software mit falschen Größen- oder Längenangaben weiterarbeitet. Ein Angreifer kann diesen Fehler nutzen, um auf dem betroffenen System eigenen Code auszuführen. Die Ausnutzung erfolgt lokal, setzt also voraus, dass der Angreifer bereits Zugang zum System hat – etwa als angemeldeter Benutzer oder über eine zuvor eingeschleuste Komponente. Eine vorherige Berechtigung für die betroffene Funktion ist dabei nicht erforderlich. Da Microsoft Defender als Schutzsoftware tief im System verankert ist und mit weitreichenden Rechten arbeitet, ist die Ausführung fremden Codes in diesem Kontext besonders folgenreich: Der Angreifer kann seine Rechte ausweiten und gerade jene Komponente unterlaufen, die das System eigentlich schützen soll.