Die Schwachstelle steckt in der HTTPS-Implementierung von Node.js und beruht auf einem Re-Entrancy-Fehler. Wird die interne Funktion TLSWrap::DoWrite() aufgefordert, null Bytes zu schreiben, ruft sie direkt ClearOut() auf. Geschieht dieser Schreibvorgang aus JavaScript-Code, der im on_body-Callback des HTTP-Parsers läuft, entschlüsselt ClearOut() bereits den nächsten TLS-Datensatz, obwohl der Parser noch mitten im Request-Body steckt. Dadurch wird der Parser erneut aufgerufen, was zu einem Use-after-free und einem Lesezugriff außerhalb der Speichergrenzen auf dem Heap führt. Der Server kopiert dann freigegebenen oder fremden Heap-Speicher in den Request-Body. Ein nicht angemeldeter Client kann so Speicher anderer Verbindungen auslesen, darunter private TLS-Schlüssel und Anfragen anderer Nutzer. Voraussetzung ist ein Handler, der res.flushHeaders() vor dem Ende des Request-Bodys und später res.end() mit nicht leerem Inhalt aufruft, sowie eine beliebige Route, die Request-Bodys zurückgibt oder speichert. Unverschlüsseltes HTTP ist nicht betroffen.