Die Schwachstelle liegt im NTFS3-Dateisystemtreiber des Linux-Kernels, genauer in der Journal-Wiederherstellung (Log-Replay). Beim Abspielen älterer Restart-Tabellen rechnet der Treiber bestimmte Verzeichnisseiten-Einträge in ein neueres Format um. Die dabei verschobene Datenmenge wird unmittelbar aus einem Zählfeld übernommen, das auf dem Datenträger steht und zuvor nicht gegen die tatsächliche Größe des Eintrags geprüft wird. Die vorhandene Prüfung der Restart-Tabelle kontrolliert nur deren Struktur, nicht diesen Wert. Ein präpariertes oder beschädigtes Dateisystem-Abbild kann daher einen überhöhten Zählwert enthalten, wodurch der Kopiervorgang über den reservierten Speicherbereich hinaus zugreift. Derselbe Wert begrenzt später auch das Durchlaufen einer Liste von Clusternummern, sodass es auch dort zu Zugriffen außerhalb der Grenzen kommen kann. Praktisch gefährdet sind Systeme, auf denen Nutzer oder Angreifer mit physischem Zugang untergeschobene NTFS-Datenträger einhängen können; mögliche Folgen reichen von Systemabstürzen bis zur Manipulation von Kernelspeicher. Die Korrektur berechnet die zulässige Obergrenze aus der geprüften Eintragsgröße und weist unplausible Einträge zurück.