Betroffen ist das HTTP/3-Modul des Webservers NGINX Open Source, das die QUIC-Unterstützung bereitstellt. Der Fehler liegt in der Verarbeitung von QPACK-Encoder-Streams: Ein Angreifer kann über eine speziell präparierte HTTP/3-Sitzung einen solchen Stream erneut öffnen, obwohl das nicht vorgesehen ist. Dadurch greift der Server auf einen bereits freigegebenen Speicherbereich zu (Use-after-Free). Die unmittelbare Folge ist ein Absturz und Neustart des NGINX-Worker-Prozesses, also eine Störung der Verfügbarkeit. Unter bestimmten Umständen geht die Auswirkung deutlich weiter: Ist der Speicherschutz ASLR auf dem System deaktiviert oder kann der Angreifer ihn umgehen, lässt sich über den Fehler eigener Programmcode ausführen. Der Angriff erfordert weder eine Anmeldung noch Benutzerinteraktion und ist über das Netz möglich, allerdings müssen zusätzliche, vom Angreifer nicht direkt steuerbare Bedingungen zutreffen. Verwundbar sind nur Installationen, bei denen HTTP/3 über QUIC aktiviert ist.