Die Schwachstelle liegt in der Netzwerkadressumsetzung (Network Address Translation, NAT) von Windows. Dort werden die Herkunftsangaben eingehender Netzwerkpakete nicht ausreichend geprüft – die Komponente verlässt sich also auf Ursprungsinformationen, ohne deren Echtheit zuverlässig zu validieren. Ein Angreifer, der sich im direkt benachbarten Netzsegment befindet, kann diesen Prüffehler ausnutzen und Datenverkehr mit gefälschter Herkunft einspeisen. Dadurch lässt sich eine falsche Identität oder ein falscher Absender vortäuschen (Spoofing), sodass Verbindungen oder Systeme einer scheinbar vertrauenswürdigen Quelle zugeordnet werden. Eine vorherige Anmeldung am Zielsystem ist dafür nicht erforderlich, wohl aber die Nähe im Netzwerk – ein Angriff über das offene Internet hinweg ist damit nicht möglich. Betroffen sind Windows-Systeme, die NAT-Funktionen bereitstellen und damit Netzverkehr zwischen Segmenten vermitteln.