Bei dieser Schwachstelle werden ausführbare Dateien, die von Benutzern beeinflusst oder ersetzt werden können, unmittelbar von Prozessen mit hohen Systemrechten gestartet. Weil der privilegierte Prozess die Herkunft und Integrität dieser Dateien nicht ausreichend prüft, kann ein Angreifer mit einem einfachen, nur eingeschränkt berechtigten Benutzerkonto eigenen Code an der entsprechenden Stelle hinterlegen. Dieser Code wird anschließend im Kontext des hochprivilegierten Prozesses ausgeführt und erhält dadurch die Rechte des lokalen Systemkontos NT AUTHORITY\SYSTEM – die höchste Berechtigungsstufe unter Windows. Damit handelt es sich um eine lokale Rechteausweitung: Der Angreifer benötigt zwar bereits Zugang zum System, kann sich aber von einem gewöhnlichen Nutzerkonto zur vollständigen Kontrolle über den Rechner hocharbeiten, Sicherheitsmechanismen abschalten, beliebige Software installieren und auf alle Daten zugreifen. Solche Lücken werden typischerweise als zweiter Schritt nach einem ersten Einbruch genutzt.