Die Schwachstelle steckt in der Verarbeitung des TLS-Verbindungsaufbaus (Handshake) bei TLS-Servern in Node.js. Nutzt ein Server die Hooks SNICallback, OCSPRequest, newSession oder resumeSession oder die Funktion server.addContext(), werden die zugehörigen OpenSSL-Callbacks nicht sofort, sondern zeitversetzt ausgeführt. Der verzögerte Code berücksichtigt nicht, dass die zugrunde liegende Socket-Verbindung in der Zwischenzeit bereits geschlossen und freigegeben worden sein kann. Es handelt sich also um einen Fehler, bei dem ein bereits zerstörtes Objekt weiterverwendet wird (Use-after-Destroy). Ein entfernter Angreifer braucht dafür keine Anmeldung. Er schickt eine präparierte Client-Hello-Nachricht, die den fehlerhaften Codepfad erreicht, zum Beispiel ohne SNI-Angabe, aber mit OCSP-Anfrage. Darauf folgen Fülldaten und ein Verbindungsabbau (FIN). Dadurch liefert OpenSSL die Begrüßungsnachricht und das Verbindungsende im selben Verarbeitungsschritt aus. Der Socket ist dann bereits zerstört, wenn der verzögerte Callback läuft. Statt eines abfangbaren Fehlerereignisses entsteht eine unbehandelte Ausnahme, die den gesamten Serverprozess beendet. Die Folge ist ein Ausfall des Dienstes (Denial of Service).