Die Schwachstelle betrifft SQL Server und beruht auf einer unzureichenden Bereinigung von Sonderzeichen in Ausgaben, die an eine nachgelagerte Komponente weitergegeben werden. Dadurch lassen sich Steuerzeichen so einschleusen, dass die verarbeitende Komponente Teile der Eingabe als Anweisung statt als reine Daten interpretiert – ein klassischer Injektionsfehler. Ein Angreifer kann diesen Defekt über das Netzwerk ausnutzen, ohne dazu berechtigt zu sein, und sich auf diesem Weg höhere Rechte verschaffen, als ihm eigentlich zustehen. Eine erfolgreiche Ausnutzung bedeutet damit eine Rechteausweitung innerhalb der Datenbankumgebung, mit der ein Angreifer auf Daten und Funktionen zugreifen kann, die ihm sonst verwehrt bleiben. Betroffen sind Umgebungen, in denen der Datenbankdienst über das Netz erreichbar ist.