Le concours Pwn2Own de cette année s'est terminé après trois jours de piratage des navigateurs et des systèmes d'exploitation. À la fin, le navigateur Edge de Microsoft est devenu le perdant après avoir échoué à parer aux attaques lors de l'événement.

Une équipe de la société de sécurité chinoise Qihoo 360 a exploité Edge et a lié deux failles de sécurité pour échapper à un hôte VMware Workstation. L’équipe a reçu 105 000 dollars en récompense de la découverte des vulnérabilités. Zero Day Initiative, qui a sponsorisé le concours, a déclaré dans un article de blog:

Notre journée a commencé avec les gens de 360 ​​Security (@ mj0011sec) qui tentaient un échappement complet de la machine virtuelle via Microsoft Edge. Dans une première pour la concurrence Pwn2Own, ils ont absolument réussi à exploiter un débordement de tas dans Microsoft Edge, une confusion de types dans le noyau Windows et un tampon non initialisé dans VMware Workstation pour un échappement complet de la machine virtuelle. Ces trois bogues leur ont rapporté 105 000 $ et 27 points Master of Pwn. Ils ne diront pas exactement combien de temps les recherches ont pris, mais la démonstration du code n'a nécessité que 90 secondes.

Ensuite, Richard Zhu (fluorescence) a ciblé Microsoft Edge avec une escalade au niveau du système. Bien que sa première tentative ait échoué, sa deuxième tentative a exploité deux bogues distincts UAF (utilisation après libération) dans Microsoft Edge, puis est passée à SYSTEM en utilisant un débordement de mémoire tampon dans le noyau Windows. Cela lui a valu 55 000 $ et 14 points envers Master of Pwn.

Tencent Security a également reçu 100 000 dollars US pour la deuxième évasion de VMware Workstation. ZDI a expliqué:

Tencent Security - Team Sniper (Keen Lab et PC Mgr) a ciblé VMWare Workstation (invité à l’hôte) lors de l’événement final de la journée et du concours. L’événement ne s’est certainement pas terminé sans encombre. Ils ont utilisé une chaîne de trois bogues pour gagner la catégorie Escapes de machine virtuelle (invité à hôte) avec un exploit de VMWare Workstation. Cela impliquait un fichier UAF du noyau Windows, une info Poste de travail et un tampon non initialisé dans Workstation pour passer d'invité à hôte. Cette catégorie a encore aggravé la difficulté, car VMware Tools n’était pas installé sur l’invité.

Bien que le concours Pwn2Own ne dispose pas d'une méthode équitable pour attaquer tous les navigateurs de la même manière, Microsoft a manifestement encore beaucoup de chemin à parcourir pour améliorer la sécurité de Edge.