Die Schwachstelle liegt in der Weboberfläche von RDK-B, der Broadband-Plattform für Router und Gateways. Beim Prüfen von JSON Web Tokens (JWT) wird die kryptografische Signatur nicht korrekt verifiziert: Die zuständige Funktionsbibliothek akzeptiert Tokens auch dann, wenn die RSA-Signatur ungültig ist. Ein Angreifer kann daher aus der Ferne ein selbst erzeugtes, gefälschtes Token vorlegen und damit die Anmeldung vollständig umgehen. Ohne gültige Zugangsdaten erhält er administrativen Zugriff auf die Verwaltungsoberfläche des Geräts und kann dessen Konfiguration einsehen und verändern. Da die Signaturprüfung genau die Instanz ist, die echte von gefälschten Sitzungen unterscheiden soll, entfällt der Authentifizierungsschutz praktisch vollständig. Besonders kritisch ist dies, weil es sich um Netzwerkgeräte am Übergang zum Internet handelt, deren Übernahme den gesamten darüber laufenden Datenverkehr betrifft.