Betroffen ist die JavaScript-Erweiterung njs für den Webserver NGINX. Wenn ein Skript die Funktion zum Verarbeiten von XML-Daten aufruft und diese Verarbeitung fehlschlägt, räumt die Engine den dabei angelegten Speicherbereich des XML-Parsers nicht auf. Der Fehlerpfad enthält keine entsprechende Aufräumlogik, sodass der belegte Speicher für die gesamte Laufzeit des Prozesses reserviert bleibt. Ein Angreifer kann dies ohne jede Anmeldung ausnutzen, indem er wiederholt Anfragen mit fehlerhaft aufgebauten XML-Daten schickt. Jede dieser Anfragen hinterlässt weiteren nicht freigegebenen Speicher, sodass der Verbrauch der langlebigen NGINX-Arbeitsprozesse unkontrolliert anwächst. In der Folge können diese Prozesse beendet werden, und der Dienst steht nicht mehr zuverlässig zur Verfügung. Die Schwachstelle betrifft ausschließlich die Verarbeitung des Nutzdatenverkehrs, nicht die Verwaltungsebene.