Die Schwachstelle beruht auf einer unzureichenden Zugriffskontrolle in Azure SQL Database. Berechtigungen werden dabei nicht korrekt geprüft beziehungsweise durchgesetzt, sodass ein Angreifer, der bereits über gültige Zugangsdaten und damit über einen legitimen Zugang zum Dienst verfügt, über das Netzwerk mehr Rechte erlangen kann, als ihm eigentlich zustehen. Auf diesem Weg lässt sich eine Rechteausweitung erreichen, die einem Angreifer Zugriff auf Daten oder Verwaltungsfunktionen verschafft, die für sein Konto eigentlich gesperrt sein müssten. Voraussetzung ist also kein anonymer Zugriff, sondern ein vorhandenes Konto – etwa das eines regulären Nutzers oder eines kompromittierten Dienstkontos. Da es sich um einen Cloud-Datenbankdienst handelt, betrifft die Lücke insbesondere Umgebungen, in denen mehrere Nutzer oder Mandanten mit unterschiedlichen Berechtigungsstufen auf dieselbe Infrastruktur zugreifen.