एरिक अवाकियनइन्फो-टेक रिसर्च ग्रुप के तकनीकी परामर्शदाता ने बताया कि यह एक मुद्दा क्यों है। “प्रबंधन सर्वर में एक गंभीर दोष है कि इसकी पृष्ठभूमि सेवाएँ कुछ प्रकार के नेटवर्क संदेशों को कैसे संभालती हैं जो नेटवर्क पर एक हमलावर को लॉग इन किए बिना अपना स्वयं का कोड चलाने की अनुमति देती है। वह सेवा नेटवर्क पर किसी से भी एक संदेश स्वीकार करेगी और फिर एक मानक विंडोज फ़ंक्शन का उपयोग करके विंडोज डीएलएल को आँख बंद करके लोड कर सकती है। समस्या यह है कि सॉफ्टवेयर ठीक से मान्य नहीं करता है कि वह डीएलएल कहां से आ रहा है।”
उन्होंने कहा, जब ऐसा होता है, तो प्रभावित सॉफ़्टवेयर हमलावर का कोड चलाएगा, संभवतः विशेषाधिकार के उच्चतम स्तर पर। इसलिए, इन परिस्थितियों में, हमलावर एपेक्स सेंट्रल को एक डीएलएल की ओर इंगित कर सकता है जिसे वे नियंत्रित करते हैं, उदाहरण के लिए, एक दूरस्थ नेटवर्क पर। इसके बाद वह कॉर्पोरेट सॉफ़्टवेयर परिवेश में गहराई तक जा सकता है। अवाकियन ने कहा, “संक्षेप में, यदि यह सर्वर खुला और अप्रकाशित है, तो इसे दूर से लिया जा सकता है।”
उन्होंने कहा, जो बात हमले को विशेष रूप से घातक बनाती है, वह यह है कि हमलावरों को सर्वर में लॉग इन करने या उस पर फ़ाइलों की प्रतिलिपि बनाने की आवश्यकता नहीं होती है। “वे बस एक दुर्भावनापूर्ण डीएलएल को कहीं होस्ट कर सकते हैं जिसे वे नियंत्रित करते हैं और एपेक्स सेंट्रल को इसे लोड करने का निर्देश देते हैं। दोष के कारण, एपेक्स सेंट्रल डीएलएल तक पहुंचता है और खुद को लोड करता है, प्रभावी ढंग से हमलावर के कोड को खींचता है और निष्पादित करता है, बिना यह जांचे कि किसने पूछा।”