Concursul din acest an Pwn2Own s-a încheiat după trei zile de hacking browsere și sisteme de operare. La final, browserul Microsoft Edge a apărut ca un ratat după ce nu a reușit să întrețină atacurile în timpul evenimentului.

O echipă de la firma de securitate chineză Qihoo 360 a exploatat Edge și a legat împreună două defecte de securitate pentru a scăpa de o gazdă VMware Workstation. Echipa a primit 105.000 de dolari drept recompensă pentru descoperirea vulnerabilităților. Inițiativa Zero Day, care a sponsorizat concursul, a spus într-o postare pe blog:

Ziua noastră a început cu oamenii de la 360 Security (@ mj0011sec) care încearcă o scăpare completă a mașinii virtuale prin Microsoft Edge. Într-o primă pentru competiția Pwn2Own, au reușit absolut folosind un preaplin de haldă în Microsoft Edge, o confuzie de tip în kernel-ul Windows și un tampon neinițializat în VMware Workstation pentru o scăpare completă a mașinii virtuale. Aceste trei bug-uri le-au câștigat 105.000 $ și 27 de puncte Master of Pwn. Nu vor spune exact cât timp le-au dus cercetările, dar demonstrația de cod a avut nevoie de doar 90 de secunde.

Următorul Richard Zhu (fluorescență) a vizat Microsoft Edge cu o escaladare la nivel de SISTEM. Deși prima sa încercare a eșuat, a doua sa încercare a folosit două bug-uri separate de utilizare după-liber (UAF) în Microsoft Edge și apoi s-a escaladat la SYSTEM folosind un preaplin de tampon în kernel-ul Windows. Acest lucru i-a adus 55.000 $ și 14 puncte față de Master of Pwn.

De asemenea, Tencent Security a obținut 100.000 de dolari pentru a doua scăpare VMware Workstation. ZDI a explicat:

Evenimentul final atât al zilei, cât și al concursului a avut Tencent Security - Team Sniper (Keen Lab și PC Mgr) care a vizat stația de lucru VMWare (Guest-to-Host), iar evenimentul nu s-a încheiat cu un capriciu. Au folosit un lanț cu trei erori pentru a câștiga categoria Virtual Machine Escapes (Guest-to-Host) cu un exploat VMWare Workstation. Aceasta a implicat un UAF de kernel Windows, o informație pentru stația de lucru și un buffer neinițializat în Workstation pentru a merge de la gazdă la gazdă. Această categorie a ratificat dificultatea și mai mult, deoarece instrumentele VMware nu au fost instalate în invitat.

Deși concursul Pwn2Own nu are o metodă corectă de a ataca fiecare browser în egală măsură, în mod evident, Microsoft mai are un drum lung pentru a îmbunătăți securitatea Edge.