Die Schwachstelle sitzt im Windows User Profile Service, der Benutzerprofile beim An- und Abmelden verwaltet. Der Dienst löst symbolische Verknüpfungen auf, bevor er auf Dateien zugreift, ohne dabei ausreichend zu prüfen, wohin die Verknüpfung tatsächlich zeigt. Ein Angreifer, der sich bereits lokal am System angemeldet hat, kann eine solche Verknüpfung so vorbereiten, dass der Dienst mit seinen hohen Systemrechten auf ein Ziel zugreift, das dem Angreifer selbst nicht offensteht. Auf diese Weise werden Dateioperationen im Sicherheitskontext des Dienstes ausgeführt und der Angreifer erweitert seine eigenen Rechte auf dem betroffenen Rechner. Voraussetzung ist ein vorhandenes Benutzerkonto und lokaler Zugang; aus der Ferne allein lässt sich der Fehler nicht auslösen. Typischerweise wird eine solche Rechteausweitung als zweiter Schritt nach einer ersten Kompromittierung genutzt, um von einem einfachen Benutzerkonto zur vollständigen Kontrolle über das System zu gelangen.