Der Fehler steckt im Krypto-Modul von Node.js, genauer in den internen Zwischenspeichern für Zufallswerte, die von Funktionen zur Erzeugung von UUIDs und zufälligen Ganzzahlen genutzt werden. Wird beim Erstellen eines Startup-Snapshots – etwa für eine als einzelne ausführbare Datei gebündelte Anwendung – eine dieser Funktionen oder eine darauf aufbauende Schnittstelle aufgerufen, landet der gefüllte Zufallsspeicher mit im Snapshot. Jeder Prozess, der später aus diesem Snapshot startet, liefert dann exakt dieselbe Folge von Werten, bis der Speicher neu befüllt wird: betroffen sind eine begrenzte Zahl von UUIDs und etwa tausend Zufallszahlen pro Prozess. Praktische Folge: Kennungen, die eindeutig sein müssen, kollidieren über Prozessgrenzen hinweg, und ein Angreifer kann die Werte eines Prozesses vorhersagen, indem er die eines anderen beobachtet. Das untergräbt alles, was auf Unvorhersehbarkeit beruht, etwa Token oder Sitzungskennungen.