Die Schwachstelle betrifft die HTTP/2-Implementierung von Node.js und tritt beim Abbau einer HTTP/2-Sitzung auf. Ein Client kann es so einrichten, dass ein HTTP/2-Stream, der noch von der eingebundenen nghttp2-Bibliothek reservierte Header-Puffer hält, länger existiert als seine Sitzung. Der Stream wird zwar aus der Stream-Verwaltung der Sitzung entfernt, aber nie sauber von ihr gelöst. Wird die Sitzung anschließend beendet, ist die interne Speicherbuchhaltung nicht bei null. Dadurch schlägt eine interne Konsistenzprüfung (Assertion) fehl und der gesamte Node.js-Prozess bricht ab. Jeder Client kann den Fehler ohne Anmeldung auslösen, sowohl über verschlüsselte als auch über unverschlüsselte Verbindungen. Voraussetzung ist lediglich ein HTTP/2-Server in Standardkonfiguration, dessen Handler antwortet, bevor der Request-Body vollständig übertragen ist, was in der Praxis üblich ist. Der Angreifer kann den Dienst so gezielt lahmlegen (Denial of Service). Es handelt sich um eine Variante eines früher behobenen Fehlers, die die damalige Korrektur nicht abdeckte. Diese löste nur Streams, die noch in der Sitzung verwaltet wurden.