Die Schwachstelle steckt in der WebGL-Komponente des Google-Chrome-Browsers unter Android. WebGL ist die Schnittstelle, über die Webseiten hardwarebeschleunigte 3D-Grafik im Browser darstellen. Durch einen Use-after-free-Fehler greift der Browser auf Speicher zu, der zuvor bereits freigegeben wurde. Ein Angreifer kann diesen Zustand mit einer speziell präparierten HTML-Seite gezielt herbeiführen und den freigegebenen Speicherbereich mit eigenen Daten belegen. Gelingt das, lässt sich beliebiger Programmcode ausführen – und zwar außerhalb der Sandbox, also jenseits jener Schutzschicht, die Browserinhalte normalerweise vom restlichen System abschottet. Damit entfällt die wichtigste Barriere zwischen einer bösartigen Webseite und dem Mobilgerät. Zur Auslösung genügt der Aufruf einer entsprechend präparierten Seite; der Angriff erfolgt aus der Ferne und erfordert keine Anmeldung. Betroffen sind Nutzerinnen und Nutzer der Android-Version des Browsers.