Die Schwachstelle betrifft Apache Axis 1.x, eine SOAP-Engine für Java-Anwendungen, die vom Projekt nicht mehr gepflegt wird. Der Fehler liegt in der Deserialisierung eingehender SOAP-Fehlermeldungen (SOAP Fault). Enthält eine solche Meldung im Detailbereich ein Element mit einem Klassennamen, lädt Axis die genannte Klasse. Ist zusätzlich ein Textwert angegeben, erzeugt Axis über den String-Konstruktor sogar eine Instanz dieser Klasse. Erst danach prüft es, ob es sich überhaupt um eine gültige Axis-Fehlerklasse handelt. Schon das Laden der Klasse führt deren statischen Initialisierungscode aus. Befindet sich eine geeignete Klasse im Klassenpfad der Anwendung, kann ein Angreifer so aus der Ferne und ohne Anmeldung beliebigen Code ausführen. Die Fehlermeldung wird ausgewertet, während die Engine noch den Zieldienst ermittelt, also bevor die dienstspezifischen Handler laufen. Dort konfigurierte Authentifizierungsmechanismen schützen deshalb nicht. Das Projekt plant keine korrigierte Version und empfiehlt, auf eine andere SOAP-Engine wie Apache Axis 2/Java umzusteigen oder eine Axis-Version mit eingespieltem Korrektur-Patch zu verwenden.