Die Schwachstelle betrifft die QUIC-Serverimplementierung von OpenSSL, genauer das sogenannte Listener-Objekt, das eingehende Verbindungen entgegennimmt. Trifft ein gültiges QUIC-Initial-Paket mit einer unbekannten Ziel-Verbindungskennung ein, wertet der Server dies als neue Verbindung, legt ein eigenes Kanalobjekt an und stellt es in eine Warteschlange, bis die Anwendung die Verbindung annimmt. Für diese Warteschlange war keine Obergrenze vorgesehen. Ein entfernter Angreifer kann daher massenhaft Initial-Pakete senden – schneller, als die Anwendung Verbindungen annehmen kann – und so immer neue Kanalobjekte erzeugen lassen. Der Speicherverbrauch wächst dabei unbegrenzt, bis der QUIC-Listener nicht mehr erreichbar ist; die Folge ist ein Denial of Service. Der Fehler besteht seit Einführung der QUIC-Serverfunktion. Die Korrektur führt eine Obergrenze für wartende Verbindungen ein, die Anwendungen bei Bedarf anpassen können. Das FIPS-Modul ist nicht betroffen, da QUIC außerhalb seiner Grenze liegt.