Die Schwachstelle steckt in der HGFS-Komponente von VMware Workstation und VMware Fusion, also in der Funktion für den Dateiaustausch zwischen einer virtuellen Maschine und dem darunterliegenden Wirtssystem. Dort kommt es zu einem Pufferüberlauf auf dem Stack: Speziell präparierte Daten überschreiben Speicherbereiche, die eigentlich für andere Zwecke vorgesehen sind, wodurch sich der Programmablauf manipulieren lässt. Ausnutzen kann das ein Angreifer, der innerhalb einer virtuellen Maschine bereits über lokale administrative Rechte verfügt. Gelingt der Angriff, führt er eigenen Code im Kontext des VMX-Prozesses aus, der die virtuelle Maschine auf dem Wirtssystem steuert. Damit durchbricht der Angriff die Trennung zwischen Gast und Host – die zentrale Sicherheitsgrenze der Virtualisierung. Betroffen sind die Desktop-Virtualisierungsprodukte Workstation und Fusion; die Gefahr besteht vor allem dort, wo nicht vertrauenswürdige oder potenziell kompromittierte virtuelle Maschinen betrieben werden.