Die Schwachstelle steckt in der HTTP/2-Implementierung von Node.js und erlaubt es einem Client ohne Anmeldung, den Server zum Absturz zu bringen. Sie betrifft Server, die Dateien über die Funktionen stream.respondWithFile() oder stream.respondWithFD() ausliefern. Bricht der Client eine solche Dateiübertragung ab, wird das intern für die Übertragung genutzte StreamPipe-Objekt in einer fehlerhaften Reihenfolge abgebaut. Dabei bleibt ein Nullzeiger zurück, auf den anschließend zugegriffen wird. Das führt zum Abbruch des gesamten Node.js-Prozesses. Für den Angriff braucht es keine speziell präparierten Datenpakete. Schon einige abgebrochene Anfragen an einen gewöhnlichen Handler, der Dateien ausliefert, reichen aus. Der Angriff funktioniert sowohl über verschlüsselte TLS-Verbindungen als auch über unverschlüsseltes HTTP/2. Damit können Angreifer betroffene Dienste mit wenig Aufwand lahmlegen (Denial of Service). Betroffen sind mehrere aktuelle Release-Linien von Node.js.