Die Schwachstelle steckt im SSH-Serverdienst sshd von OpenSSH und betrifft die Art, wie eingegebene Passwörter verarbeitet werden. Wird für die Passwortspeicherung ein modernes Hash-Verfahren wie SHA256 oder SHA512 genutzt, verwendet der Dienst für nicht existierende Benutzernamen stattdessen ein statisches Passwort mit dem deutlich schnelleren Blowfish-Verfahren. Dadurch unterscheidet sich die Antwortzeit des Servers spürbar, je nachdem, ob der angefragte Benutzername tatsächlich existiert oder nicht – besonders deutlich, wenn ein sehr langes Passwort übermittelt wird. Ein Angreifer kann diesen Zeitunterschied aus der Ferne und ohne gültige Zugangsdaten messen und auf diese Weise systematisch gültige Benutzernamen auf dem System ermitteln. Die Lücke erlaubt zwar keinen direkten Zugriff, liefert aber eine verlässliche Liste vorhandener Konten, die anschließend gezielt für Passwortangriffe oder weitere Angriffsschritte genutzt werden kann.