Betroffen ist der Webbrowser Google Chrome, genauer eine interne Komponente des Browsers. Dort tritt ein sogenannter Use-after-Free-Fehler auf: Das Programm greift auf einen Speicherbereich zu, der zuvor bereits freigegeben wurde. Ein Angreifer kann diesen Zustand gezielt herbeiführen, indem er eine speziell präparierte HTML-Seite ausliefert – es genügt also, dass das Opfer eine manipulierte Webseite aufruft. Gelingt die Ausnutzung, kann der Angreifer aus der Ferne beliebigen Programmcode ausführen, und zwar außerhalb der Sandbox. Die Sandbox ist die Schutzschicht, die Browserinhalte normalerweise vom restlichen System abschottet; wird sie umgangen, wirkt der eingeschleuste Code direkt auf dem Rechner des Nutzers. Damit ist eine weitreichende Kompromittierung des Systems möglich, ohne dass der Angreifer über Zugangsdaten oder lokalen Zugriff verfügen muss.