Årets Pwn2Own-konkurranse pakket sammen etter tre dager med hackere nettlesere og operativsystemer. På slutten dukket Microsofts Edge-nettleser opp som taperen etter å ikke ha klart å avverge angrep under hendelsen.

Et team fra det kinesiske sikkerhetsfirmaet Qihoo 360 utnyttet Edge og koblet to sikkerhetsfeil sammen for å flykte fra en VMware Workstation-vert. Teamet fikk $ 105.000 som belønning for å oppdage sårbarhetene. Zero Day Initiative, som sponset konkurransen, sa i et blogginnlegg:

Dagen vår startet med at folk fra 360 Security (@ mj0011sec) forsøkte en full virtuell maskinflukt gjennom Microsoft Edge. I en første for Pwn2Own-konkurransen lyktes de absolutt med å utnytte et stort overløp i Microsoft Edge, en type forvirring i Windows-kjernen, og en uinitialisert buffer i VMware Workstation for en komplett virtuell maskinflukt. Disse tre feilene tjente dem $ 105.000 og 27 Master of Pwn-poeng. De vil ikke si nøyaktig hvor lang tid forskningen tok dem, men kodedemonstrasjonen trengte bare 90 sekunder.

Neste opp var Richard Zhu (fluorescens) rettet mot Microsoft Edge med en eskalering av SYSTEM-nivå. Selv om hans første forsøk mislyktes, utnyttet hans andre forsøk to separate bruk-etter-frie (UAF) bugs i Microsoft Edge og eskalerte deretter til SYSTEM ved å bruke et bufferoverløp i Windows-kjernen. Dette fikk ham $ 55.000 og 14 poeng mot Master of Pwn.

Tencent Security fikk også 100 000 dollar for den andre flukten fra VMware Workstation. ZDI forklarte:

Den siste begivenheten for både dagen og konkurransen hadde Tencent Security - Team Sniper (Keen Lab og PC Mgr) som målrettet VMWare Workstation (Guest-to-Host), og hendelsen endte absolutt ikke med et klynk. De brukte en tre-bug-kjede for å vinne kategorien Virtual Machine Escapes (Guest-to-Host) med en VMWare Workstation-utnyttelse. Dette involverte en Windows-kjerne UAF, en Workstation infoleak og en uinitialisert buffer i Workstation for å gå gjest-til-vert. Denne kategorien slo opp vanskeligheten enda mer fordi VMware Tools ikke ble installert i gjesten.

Selv om Pwn2Own-konkurransen mangler en rettferdig metode for å angripe alle nettlesere i like stort mål, har Microsoft tydeligvis fortsatt en lang vei å gå for å forbedre sikkerheten til Edge.