Die Schwachstelle steckt im SD-WAN Orchestrator, der zentralen Verwaltungsinstanz für software-definierte Weitverkehrsnetze. Betroffen ist der Endpunkt für die Cache-Synchronisierung: Sendet ein angemeldeter Nutzer dorthin eine gezielt präparierte Anfrage, gibt das System vertrauliche Konfigurationsdaten preis. Dazu genügen bereits reine Leserechte – der Angreifer benötigt also kein administratives Konto, sondern lediglich einen gewöhnlichen, eingeschränkten Zugang, und er kann die Lücke aus der Ferne über das Netzwerk ausnutzen. Offengelegt werden dabei unter anderem API-Tokens und Zugangsdaten für angebundene Dienste von Drittanbietern. Damit endet der Schaden nicht bei der Orchestrator-Instanz selbst: Mit den erbeuteten Anmeldeinformationen kann sich der Angreifer seitwärts weiterbewegen und Zugriff auf externe, verknüpfte Sicherheitsplattformen erlangen. Aus einem lesenden Zugang auf das Netzwerkmanagement wird so potenziell ein Einstieg in weitere Systeme der Umgebung.