Internet Explorer的CFunctionPointer函數沒有正確處理文檔對象，如果以特定序列附加并刪除了對象，就可以觸發內存破壞。攻擊者可以構造特殊順序的代碼觸發這個內存破壞，同時利用精心構造的緩沖區，導致以當前登錄用戶的權限執行任意代碼。

該弱點實際存在于mshtml.dll中。CFunctionPointer對象在其構造函數中沒有正確地引用文檔對象（標簽對象或其它），導致該文檔對象可能在CFunctionPointer對象釋放前被釋放，而CFunctionPointer會繼續使用這個已經被銷毀的文檔對象。

這是CFunctionPointer的構造函數:
public: __thiscall CFunctionPointer::CFunctionPointer(class CBase *, long)
.text:775E7BE9                 mov     edi, edi
.text:775E7BEB                 push    ebp
.text:775E7BEC                 mov     ebp, esp
.text:775E7BEE                 push    esi
.text:775E7BEF                 mov     esi, ecx
.text:775E7BF1                 call    ??0CBase@@QAE@XZ ; CBase::CBase(void)
.text:775E7BF6                 mov     ecx, [ebp+pOwner]
.text:775E7BF9                 test    ecx, ecx
.text:775E7BFB                 mov     eax, [ebp+pISecurityContext]
.text:775E7BFE                 mov     dword ptr [esi], offset ??_7CFunctionPointer@@6B@ ; const CFunctionPointer::`vftable'
.text:775E7C04                 mov     [esi+10h], ecx // 設置關聯文檔對象

在設置文檔對象時，CFunctionPointer的構造函數僅僅是簡單的將其賦給[edi+10h]，而沒有對其進行引用(AddRef)。

而在CFunctionPointer其他函數中幾乎都使用了該關聯文檔對象指針，例如實現IUnknown::AddRef的CFunctionPointer::PrivateAddRef,實現IUnknown::Release的CFunctionPointer::PrivateRelease。

這是CFunctionPointer::PrivateAddRef函數:
virtual unsigned long CFunctionPointer::PrivateAddRef(void)
.text:775E7A21 arg_0           = dword ptr  8
.text:775E7A21                 mov     edi, edi
.text:775E7A23                 push    ebp
.text:775E7A24                 mov     ebp, esp
.text:775E7A26                 push    esi
.text:775E7A27                 mov     esi, [ebp+arg_0] ; this
.text:775E7A2A                 mov     eax, [esi+10h] ;獲得文檔對象指針
.text:775E7A2D                 test    eax, eax
.text:775E7A2F                 jz      short loc_775E7A3D
.text:775E7A31                 cmp     dword ptr [esi+4], 0
.text:775E7A35                 jz      short loc_775E7A3D
.text:775E7A37                 mov     ecx, [eax] ;取第一個DWORD,即虛表指針
.text:775E7A39                 push    eax
.text:775E7A3A                call    dword ptr [ecx+4] ;調用+4位置給出的函數,即AddRef

例如在CFunctionPointer::PrivateAddRef中，如果文檔對象已經被銷毀，那么將獲得不可預知的虛表指針，接下來執行call dword ptr [ecx+4]后，將跳轉到一個不可預知地址去執行 ，在一般情況下會導致IE崩潰。

攻擊者可以以特定的步驟，使CFunctionPointer對象的關聯文檔對象在CFunctio nPointer對象釋放前被釋放，接著再引用該CFunctionPointer對象，致使已經被釋放的文檔對象被重新使用。

而攻擊者又可以以特殊的方式，任意設置被釋放文檔對象原來所在內存位置的數據（即可構造不正確的虛表），導致該弱點被擴大到可以被利用于執行任意代碼。