Die Schwachstelle steckt in der TLS-Implementierung von Node.js und ermöglicht es, die Authentifizierung per Client-Zertifikat zu umgehen. Ursache ist, dass ein Client bei einer Neuverhandlung (Renegotiation) einer TLS-1.2-Verbindung den angefragten Servernamen ändern kann. Gefährlich ist das für Server, die je nach Hostname unterschiedliche Regeln für Client-Zertifikate anwenden. Ein Beispiel ist ein Server, der für einen Admin-Host eine strengere Zertifikatsprüfung verlangt als für einen gewöhnlichen Host. Ein Client meldet sich zunächst regulär für einen Host an, für den er berechtigt ist. Anschließend handelt er die bestehende TLS-1.2-Verbindung unter einem anderen Servernamen neu aus. Dabei behält er seine bisherige Authentifizierung und gelangt so zum geschützten Host. Damit umgeht er die strengere Richtlinie und kann Endpunkte erreichen, für die er keine Berechtigung hat. Betroffen sind mehrere aktuelle Hauptversionszweige von Node.js.