Az idei Pwn2Own verseny három napos böngészőket és operációs rendszereket követően történt. Végül a Microsoft Edge böngészője vesztesnek bizonyult, miután nem sikerült elhárítania a támadásokat az esemény során.

A Qihoo 360 kínai biztonsági cég csapata kihasználta az Edge szolgáltatást, és két biztonsági hibát összekapcsolt, hogy elkerülje a VMware Workstation gazdagépet. A csapat 105 000 dollárt kapott jutalomként a sebezhetőség felfedezéséért. A versenyt szponzoráló Zero Day Initiative egy blogbejegyzésben mondta:

Napunk azzal kezdődött, hogy a 360 Security (@ mj0011sec) tagjai megkíséreltek egy teljes virtuális gépet elmenekülni a Microsoft Edge-en keresztül. A Pwn2Own verseny első részében abszolút sikeresek voltak, ha kihasználták a Microsoft Edge-ből származó halom túlcsordulást, a típusú rendszerzavart a Windows kernelben, és egy nem-inicializált puffert a VMware Workstationben a teljes virtuális gép elkerülése érdekében. Ez a három hiba 105 000 dollárt és 27 Master of Pwn pontot kapott. Nem fogják pontosan mondani, mennyi ideig tartott a kutatás, de a kód demonstrációjának csak 90 másodpercre volt szüksége.

Következő lépésként Richard Zhu (fluoreszcencia) célozta meg a Microsoft Edge-t egy SYSTEM szintű eszkalációval. Noha az első próbálkozás sikertelen, második kísérlete két külön felhasználás nélküli (UAF) hibát vezetett be a Microsoft Edge-ben, majd a Windows rendszermag puffer túlcsordulásával kibővítette a SYSTEM-t. Ez 55 000 dollárt és 14 pontot kapott a Master of Pwn felé.

A Tencent Security 100 000 dollárt kapott a második VMware Workstation menekülésért. A ZDI kifejtette:

A végső rendezvényen mind a nap, mind a verseny számára Tencent Security - Team Sniper (Keen Lab és PC Mgr) célozta meg a VMWare Workstation-t (vendég-házigazda), és az esemény minden bizonnyal nem zúgolódott. Három hibaláncot használtak a Virtuálisgép-menekülések (vendég-házigazda) kategóriának a VMWare munkaállomás kihasználásával történő megnyeréséhez. Ez egy Windows kernel UAF-t, egy Workstation infoleak-ot és egy nem-inicializált puffert tartalmazott a Workstation-ben, hogy vendég-gazdagé váljon. Ez a kategória tovább súlyosbította a nehézséget, mivel a VMware eszközöket nem telepítették a vendégbe.

Bár a Pwn2Own versenyen nincs tisztességes módszer minden böngésző egyenlő megtámadására, a Microsoftnak nyilvánvalóan még hosszú utat kell megtennie az Edge biztonságának javítása érdekében.