Der Fehler liegt im Netzwerktreiber von Windows Server. Mehrere Abläufe greifen dort gleichzeitig auf dieselbe Ressource zu, ohne dass diese Zugriffe korrekt synchronisiert werden. Ein Angreifer kann diesen Wettlauf um die gemeinsam genutzte Ressource (eine sogenannte Race Condition) gezielt provozieren, indem er den Zeitpunkt der Zugriffe passend beeinflusst. Gelingt das, gerät der Treiber in einen inkonsistenten Zustand, den der Angreifer ausnutzen kann, um eigenen Programmcode ausführen zu lassen. Der Angriff erfolgt über das Netzwerk und setzt keine Berechtigung auf dem Zielsystem voraus. Da der Netzwerktreiber Teil des Betriebssystemkerns ist und Netzwerkpakete verarbeitet, bevor eine Anmeldung erforderlich wird, ist er ein exponierter Angriffspunkt: Erfolgreich ausgenutzt bedeutet die Lücke eine tiefgreifende Kompromittierung des betroffenen Servers.