Die Schwachstelle steckt in der WebGL-Komponente von Google Chrome unter Android. WebGL ist die Schnittstelle, mit der Webseiten 3D-Grafiken direkt im Browser über die Grafikhardware darstellen. Durch einen Fehler bei der Speicherverwaltung schreibt die Komponente Daten über die Grenzen des dafür vorgesehenen Speicherbereichs hinaus. Ein Angreifer kann dies über eine eigens präparierte HTML-Seite auslösen: Es genügt, dass das Opfer die manipulierte Webseite im Browser aufruft. Gelingt der Angriff, lässt sich beliebiger Programmcode ausführen – und zwar außerhalb der Sandbox, also jenseits der Schutzschicht, die Browserinhalte normalerweise vom restlichen System abschottet. Damit entfällt die wichtigste Barriere zwischen einer bösartigen Webseite und dem Mobilgerät selbst. Betroffen sind Nutzerinnen und Nutzer von Chrome auf Android-Geräten; der Angriff erfolgt aus der Ferne und erfordert lediglich den Besuch einer präparierten Seite.