Die Schwachstelle betrifft den NTFS3-Dateisystemtreiber des Linux-Kernels, genauer die Verarbeitung von Protokolleinträgen beim Wiederherstellen von Index-Strukturen. Beim Abarbeiten bestimmter Aktualisierungsoperationen für Index-Wurzel und Index-Bereiche wird ein Offset-Wert aus einem Verzeichniseintrag übernommen, der direkt vom Datenträger stammt. Dieser Wert wird nicht gegen die tatsächliche Größe des Eintrags geprüft, bevor damit Daten im Speicher verschoben werden. Ein manipuliertes Dateisystem-Abbild kann dadurch einen überhöhten Offset vorgeben, sodass der Kopiervorgang über die Grenzen des vorgesehenen Speicherbereichs hinaus schreibt. Ein solcher Speicherüberlauf kann den Kernelspeicher beschädigen und je nach Umständen zu einem Systemabsturz oder zur Ausführung eingeschleusten Codes mit Kernelrechten führen. Angriffsvoraussetzung ist, dass ein präpariertes NTFS-Medium eingebunden wird – etwa ein untergeschobener USB-Datenträger oder ein Abbild, dessen Einbindung automatisiert erfolgt. Die Korrektur ergänzt die fehlenden Grenzprüfungen an beiden betroffenen Stellen.