Årets Pwn2Own-tävling försvann efter tre dagar med hackande webbläsare och operativsystem. I slutet kom Microsofts Edge-webbläsare fram som förloraren efter att ha misslyckats med att avvärja attacker under evenemanget.

Ett team från det kinesiska säkerhetsföretaget Qihoo 360 utnyttjade Edge och kopplade samman två säkerhetsbrister för att fly från en VMware Workstation-värd. Teamet fick $ 105 000 som belöning för att upptäcka sårbarheterna. Zero Day Initiative, som sponsrade tävlingen, sa i ett blogginlägg:

Vår dag började med att folk från 360 Security (@ mj0011sec) försökte en fullständig virtuell maskinflykt via Microsoft Edge. I en första för Pwn2Own-tävlingen lyckades de absolut genom att utnyttja ett högflöde i Microsoft Edge, en typförvirring i Windows-kärnan och en oinitialiserad buffert i VMware Workstation för en fullständig virtuell maskinflukt. Dessa tre buggar tjänade dem $ 105.000 och 27 Master of Pwn-poäng. De kommer inte att säga exakt hur lång tid forskningen tog dem, men koddemonstrationen behövde bara 90 sekunder.

Därefter var Richard Zhu (fluorescens) inriktad på Microsoft Edge med en eskalering av SYSTEM-nivå. Även om hans första försök misslyckades, utnyttjade hans andra försök två separata buggar (UAF) för användning efter Microsoft i Edge och eskalerades sedan till SYSTEM med hjälp av ett buffertöverskridning i Windows-kärnan. Detta fick honom 55 000 dollar och 14 poäng mot Master of Pwn.

Tencent Security fick också $ 100 000 för den andra flykten från VMware Workstation. ZDI förklarade:

Det sista evenemanget för både dagen och tävlingen hade Tencent Security - Team Sniper (Keen Lab och PC Mgr) som var inriktade på VMWare Workstation (Guest-to-Host), och evenemanget slutade verkligen inte med ett sus. De använde en tre-bug-kedja för att vinna kategorin Virtual Machine Escapes (Guest-to-Host) med en VMWare Workstation-exploit. Detta involverade en Windows-kärna UAF, en Workstation infoleak och en oinitialiserad buffert i Workstation för att gå gäst-värd. Den här kategorin skrapade upp svårigheten ytterligare eftersom VMware Tools inte installerades i gästen.

Även om Pwn2Own-tävlingen saknar en rättvis metod för att anfalla varje webbläsare på samma sätt, har Microsoft uppenbarligen fortfarande en lång väg att förbättra Edge-säkerheten.