Die Schwachstelle ist ein Use-after-free-Fehler in Node.js. Er tritt auf, wenn ein HTTP/2-Stream abgebaut wird. Wird ein Stream beendet, während ein Schreibvorgang noch durch Backpressure zurückgehalten wird, gibt Node.js den Antwortpuffer des Streams frei, verwendet aber weiterhin eine Referenz darauf. Ein solcher Abbau kann etwa durch ein RST_STREAM der Gegenseite oder durch ein Timeout des Servers für den einzelnen Stream ausgelöst werden. Dann wird statt der vorgesehenen Antwort bereits freigegebener oder fremder Heap-Speicher an den Socket gesendet. Die Gegenstelle kann so Speicherinhalte erhalten, darunter Antwortdaten anderer Verbindungen. Damit können vertrauliche Informationen anderer Nutzer abfließen. In den neueren Release-Linien kann ein entfernter Kommunikationspartner den Abbau allein auslösen, weil sich dort das Verhalten bei der Fenstergröße geändert hat. In allen unterstützten Linien lässt sich der Fehler außerdem über einen von der Anwendung selbst ausgelösten Abbau erreichen, zum Beispiel über ein Leerlauf-Timeout pro Stream. Betroffen sind Server, die HTTP/2 mit Node.js bereitstellen.