Die Schwachstelle betrifft das Open-vSwitch-Modul im Netzwerk-Subsystem des Linux-Kernels. Dort werden erzeugte Flow-Aktionen als verschachtelte Netlink-Attribute abgelegt, deren Längenfeld nur einen begrenzten Wertebereich abdeckt. Nachdem eine frühere Änderung die Gesamtlänge des Aktionsstroms über diese Grenze hinaus zuließ, fehlte die Prüfung, ob ein einzelner erzeugter verschachtelter Container noch in das Längenfeld passt. Ein zu großer Container konnte deshalb mit abgeschnittener Längenangabe abgeschlossen werden. Beim späteren Auslesen oder Abbauen der Regeln wird dann ein anders strukturierter Datenstrom durchlaufen als der zuvor geprüfte: Bytes hinter einer überlangen verschachtelten Aktion – etwa bei Klon- oder Connection-Tracking-Aktionen – werden als eigenständige Aktionen interpretiert. Die Korrektur weist das Schließen zu großer verschachtelter Aktionen ab, reicht den Fehler an alle aufrufenden Stellen weiter und gibt dabei bereits kopierte Ressourcen der verworfenen Teilbäume geordnet wieder frei.