Die Schwachstelle betrifft die HTTP/2-Implementierung von Node.js, die intern auf der Bibliothek nghttp2 aufbaut. Ein HTTP/2-Client ohne jede Anmeldung kann damit dauerhaft Arbeitsspeicher und Dateideskriptoren des Servers binden. Der Ablauf: Der Angreifer leitet zunächst selbst das Beenden der Sitzung ein, indem er ein GOAWAY-Signal ohne Fehlercode sendet. Löst er anschließend während dieser Abbauphase einen Protokollfehler aus, etwa mit einem übergroßen Frame-Header, beendet nghttp2 die Sitzung intern, ohne dass Node.js davon erfährt. Zurück bleibt eine verwaiste Sitzung: Der Socket verharrt im Zustand CLOSE_WAIT, und der gesamte HTTP/2-Zustand dieser Verbindung bleibt unbegrenzt im Speicher. Für den Angreifer entstehen danach keine weiteren Kosten. Durch Wiederholung lassen sich so die Ressourcen des Servers erschöpfen, bis ein Denial of Service eintritt. Der Angriff funktioniert zuverlässig gegen HTTP/2-Server in der Standardkonfiguration. Ursache ist eine unvollständige frühere Korrektur. Sie erkannte interne Abbrüche durch nghttp2 nur dann, wenn die Sitzung noch nicht im Abbau war.