A vulnerabilidade permite a fuga do sistema de arquivos de um contêiner por meio de traversal de diretórios. Para explorar essa vulnerabilidade, um invasor precisa ser capaz de criar vários contêineres com uma configuração de montagem bastante específica. O problema ocorre por meio de um ataque de troca de links simbólicos que se baseia em uma condição de corrida, especificamente uma falha do tipo “time-of-check-to-time-of-use” (TOCTTOU). Isso pode ser explorado criando-se um link simbólico em um volume para um diretório de nível superior de onde os volumes são originados e, em seguida, usando esse link simbólico como destino de uma montagem. A origem da montagem é um diretório controlado pelo invasor, permitindo que ele faça a montagem vinculada do sistema de arquivos do host no contêiner. Embora mecanismos recomendados de fortalecimento de contêineres, como LSMs (AppArmor/SELinux) e namespaces de usuário, possam restringir os danos, eles não bloqueiam esse ataque completamente.