Šių metų „Pwn2Own“ konkursas baigėsi po trijų dienų įsilaužimų į naršykles ir operacines sistemas. Pabaigoje „Microsoft Edge“ naršyklė tapo nuostolinga po to, kai įvykio metu nepavyko sulaikyti atakų.

Kinijos saugumo firmos „Qihoo 360“ komanda išnaudojo „Edge“ ir susiejo du saugos trūkumus, kad išvengtų „VMware Workstation“ kompiuterio. Komanda gavo 105 000 USD kaip atlygį už pažeidžiamumų atradimą. Iniciatyva „Zero Day“, kuri rėmė konkursą, tinklaraščio įraše teigė:

Mūsų diena prasidėjo nuo „360 Security“ (@ mj0011sec) žmonių, bandančių visiškai ištrūkti iš virtualios mašinos per „Microsoft Edge“. Pirmosiose „Pwn2Own“ varžybose jiems visiškai pasisekė panaudojant „Microsoft Edge“ krūvos perpildymą, „Windows“ branduolio tipo painiavą ir neinicializuotą „VMware Workstation“ buferį, kad būtų išvengta visiško virtualios mašinos. Šios trys klaidos uždirbo jiems 105 000 USD ir 27 Master of Pwn taškus. Jie tiksliai nepasakys, kiek laiko tyrimas užtruko, tačiau kodo demonstracijai prireikė tik 90 sekundžių.

Kitas buvo Richardas Zhu (fluorescencinis), nukreiptas į „Microsoft Edge“, padidinant SISTEMOS lygį. Nors jo pirmasis bandymas nepavyko, jo antruoju bandymu buvo panaudotos dvi atskiros „UAF“ klaidos „Microsoft Edge“, o tada išplėtė į SISTEMĄ naudojant buferio perpildymą „Windows“ branduolyje. Tai jam uždirbo 55 000 USD ir 14 taškų „Pwn Master“ link.

„Tencent Security“ taip pat gavo 100 000 USD už antrą „VMware Workstation“ pabėgimą. ZDI paaiškino:

Paskutinį dienos ir konkurso renginį turėjo „Tencent Security“ - „Team Sniper“ („Keen Lab“ ir „PC Mgr“), nusitaikę į „VMWare Workstation“ (svečias-šeimininkas), ir renginys tikrai nesibaigė švilpimu. Jie panaudojo trijų klaidų grandinę, norėdami laimėti „Virtual Machine Escape“ („Guest-to-Host“) kategoriją su „VMWare Workstation“ išnaudojimu. Tai apėmė „Windows“ branduolio UAF, „Workstation infoleak“ ir neinicializuotą „Workstation“ buferį, kad jis galėtų pereiti į svečią-pagrindinį kompiuterį. Ši kategorija dar labiau padidino sunkumą, nes svečiame VMware įrankiai nebuvo įdiegti.

Nors „Pwn2Own“ konkursui trūksta sąžiningo metodo, kaip vienodai pulti kiekvieną naršyklę, „Microsoft“ akivaizdžiai dar turi nueiti ilgą kelią, kad pagerintumėte „Edge“ saugumą.