Die Schwachstelle liegt im Filtertreiber für die Container-Isolation von Windows (unionfs.sys), der Dateisystemzugriffe innerhalb isolierter Container-Umgebungen vermittelt. Der Treiber löst symbolische Verknüpfungen beziehungsweise Verweise auf Dateien nicht korrekt auf, bevor er auf die Zieldatei zugreift. Ein Angreifer, der sich bereits lokal am System angemeldet hat und über gültige Rechte verfügt, kann diesen Fehler ausnutzen, indem er Verweise so präpariert, dass der Treiber auf eine andere Datei zugreift als beabsichtigt. Dadurch lassen sich Dateien manipulieren, auf die der Angreifer regulär keinen Schreibzugriff hätte. Der Angriff erfordert lokalen Zugang, kann aber die Integrität des Systems beeinträchtigen, da der Filtertreiber mit hohen Systemrechten im Kernel arbeitet und Änderungen an geschützten Dateien so an den üblichen Zugriffskontrollen vorbei erfolgen.