Es handelt sich um eine SQL-Injection-Schwachstelle in Azure SQL Database: Sonderzeichen, die innerhalb von SQL-Befehlen eine besondere Bedeutung haben, werden nicht ausreichend entschärft. Dadurch kann ein Angreifer, der bereits über gültige Zugangsdaten beziehungsweise eine Berechtigung für den Dienst verfügt, eigene Datenbankanweisungen in reguläre Abfragen einschleusen. Der Angriff erfolgt über das Netzwerk und führt zu einer Rechteausweitung: Der Angreifer erlangt Berechtigungen, die ihm eigentlich nicht zustehen, und kann damit auf Daten und Funktionen zugreifen oder Änderungen vornehmen, die seinem ursprünglichen Konto verwehrt wären. Betroffen sind Umgebungen, in denen der Datenbankdienst genutzt wird und in denen mehrere Nutzer oder Mandanten mit unterschiedlichen Berechtigungsstufen arbeiten – dort wiegt die Aufhebung der Rechtetrennung besonders schwer.