Die Schwachstelle betrifft die HTTP/2-Implementierung von Node.js und ist ein Use-after-free-Fehler, also der Zugriff auf bereits freigegebenen Speicher. Ein Client kann den Server dazu bringen, ein HTTP/2-Stream-Objekt (Http2Stream) freizugeben, obwohl noch ein Schreibauftrag in der Warteschlange des Sockets darauf verweist. Ist dieser Schreibvorgang abgeschlossen, greift der Code auf das bereits freigegebene Objekt zu und ruft darüber eine virtuelle Methode auf. Dadurch kann ein Angreifer ohne Anmeldung den Speicher des Servers beschädigen. Der Angriff funktioniert sowohl über TLS-verschlüsselte als auch über unverschlüsselte HTTP/2-Verbindungen. Voraussetzung ist lediglich, dass die Anwendung Dateien über die Funktionen respondWithFile() oder respondWithFD() eines Streams ausliefert. Alle anderen Einstellungen können auf den Standardwerten stehen. Betroffen sind damit Node.js-Server, die per HTTP/2 Dateien auf diesem Weg bereitstellen.