Die Schwachstelle liegt in V8, der JavaScript-Engine von Google Chrome. Dort besteht eine Race Condition: Mehrere parallel ablaufende Vorgänge greifen in einer ungünstigen zeitlichen Abfolge auf dieselben Daten zu, wodurch die Engine in einen inkonsistenten Zustand gerät. Ein Angreifer kann diesen Zustand gezielt herbeiführen, indem er eine speziell präparierte HTML-Seite ausliefert. Ruft das Opfer die Seite im Browser auf, lässt sich darüber beliebiger Code ausführen – allerdings innerhalb der Sandbox des Browsers, also zunächst in der abgeschotteten Ausführungsumgebung, die Chrome um Webinhalte legt. Der Angriff erfolgt aus der Ferne und erfordert lediglich, dass der Nutzer eine manipulierte Webseite besucht; eine Anmeldung oder weitergehende Interaktion ist nicht nötig. In Kombination mit einer Schwachstelle zum Ausbruch aus der Sandbox könnte ein solcher Fehler die Grundlage für eine vollständige Kompromittierung des Systems bilden.