Die Schwachstelle betrifft die TLS-Verarbeitung des Webservers, wenn mehrere Server-Blöcke dieselbe IP-Adresse und denselben Port nutzen. Für die Wiederaufnahme bestehender TLS-Verbindungen kommen Session-Tickets beziehungsweise ein gemeinsamer SSL-Sitzungscache zum Einsatz. Da diese Sitzungsinformationen zwischen den auf derselben Adresse lauschenden Server-Blöcken geteilt werden, kann ein Angreifer zunächst eine Sitzung mit einem Server-Block aufbauen, der keine Client-Zertifikatsprüfung verlangt, und die so erhaltene Sitzung anschließend gegenüber einem anderen Server-Block wiederaufnehmen. Dadurch umgeht er die dort geforderte Authentifizierung per Client-Zertifikat. Relevant ist dies insbesondere, wenn der Standard-Server-Block die Client-Zertifikatsprüfung durchführt. Im Ergebnis erhält ein nicht berechtigter Nutzer Zugriff auf Bereiche, die eigentlich nur Clients mit gültigem Zertifikat offenstehen sollten. Konfigurationen ohne Sitzungswiederaufnahme oder mit getrennten Adressen und Ports sind nicht betroffen.