Pwn2Own

Pwn2Own - это конкурс компьютерного взлома, который ежегодно проводится на CanSecWest конференция по безопасности. Конкурс, впервые проводившийся в апреле 2007 года в Ванкувере, теперь проводится дважды в год, последний раз в ноябре 2019 года. Конкурсантам предлагается использовать широко используемое программное обеспечение и мобильные устройства с ранее неизвестные уязвимости. Победители конкурса получают устройство, которое они использовали, и денежный приз. Конкурс Pwn2Own служит для демонстрации уязвимости устройств и программного обеспечения, которые широко используются, а также для контроля прогресса, достигнутого в области безопасности с прошлого года.

• 1 История
  • 1.1 Истоки
  • 1.2 Последние годы
• 2 Система наград
• 3 Список успешных эксплойтов
• 4 Годовые конкурсы
  • 4,1 2007
  • 4,2 2008
  • 4,3 2009
  • 4,4 2010
  • 4,5 2011
  • 4,6 2012
    • 4.6.1 Споры с Google
  • 4,7 2013
  • 4,8 2014
  • 4,9 2015–2017
  • 4,10 2018
  • 4.11 2019
  • 4.12 2020
• 5 См. Также
• 6 Источники
• 7 Внешние ссылки

Истоки

Первый конкурс в 2007 году был задуман и разработан Драгосом Руиу в ответ на его разочарование отсутствием реакции Apple Inc. на месяц ошибок Apple и месяц ошибок ядра, а также телевизионные рекламные ролики Apple, упрощающие безопасность, встроенную в конкурирующую операционную систему Windows. В то время существовало широко распространенное мнение, что, несмотря на публичные демонстрации уязвимостей в продуктах Apple, OS X была значительно более безопасной, чем любые другие конкуренты. 20 марта, примерно за три недели до CanSecWest в том же году, Руйу объявил конкурс Pwn2Own исследователям безопасности в списке рассылки DailyDave. Конкурс должен был включать два MacBook Pro, которые он оставил в конференц-зале, подключенными к их собственной точке беспроводного доступа. Любой участник конференции, который может подключиться к этой беспроводной точке доступа и использовать одно из устройств, сможет покинуть конференцию с этим портативным компьютером. Денежного вознаграждения не было. Название «Pwn2Own» произошло из-за того, что участники должны «pwn » или взломать устройство, чтобы «владеть» им или выиграть.

В первый день конференции в Ванкувере, Британская Колумбия, Руйу попросил Терри Форслоф из Zero Day Initiative (ZDI) принять участие в конкурсе. У ZDI есть программа, которая покупает атаки нулевого дня, сообщает о них пострадавшему поставщику и превращает их в сигнатуры для собственной системы обнаружения сетевых вторжений, повышая ее эффективность. Уязвимости, продаваемые ZDI, становятся общедоступными только после того, как затронутый поставщик выпустит исправление для них. Форслоф согласился, чтобы ZDI предложила выкупить любые уязвимости, использованные в конкурсе, по фиксированной цене в 10 000 долларов. Впоследствии первый конкурс выявил громкую ошибку Quicktime, о которой Apple сообщила 23 апреля и исправила в начале мая. В 2008 году масштаб конкурса Pwn2Own был расширен. В число целей входили три портативных компьютера с установленной по умолчанию Windows Vista, OS X или Ubuntu Linux. Мобильные устройства были добавлены в 2009 году.

В 2012 году правила были изменены на соревнование в стиле «захват флага» с балльной системой, At и Chrome был успешно использован впервые, постоянным конкурентом VUPEN. После отказа от участия в конкурсе в этом году в связи с новыми правилами раскрытия информации, в 2013 году Google вернулся в качестве спонсора, и правила были изменены, чтобы требовать полного раскрытия информации об использованных эксплойтах и ​​методах. Google прекратил спонсировать Pwn2Own в 2015 году.

Последние годы

В 2015 году все протестированные веб-браузеры были успешно взломаны, и каждый выигранный приз на общую сумму 557 500 долларов. Другие призы, такие как ноутбуки, также были вручены победившим исследователям. В 2018 году конференция была намного меньше и спонсировалась в основном Microsoft после того, как Китай запретил своим исследователям безопасности участвовать в конкурсе.

Pwn2Own продолжает спонсироваться Trend Micro Zero Day Initiative, при этом ZDI сообщает об уязвимостях поставщикам, прежде чем обнародовать информацию о взломах. «Один из крупнейших хакерских конкурсов в мире» согласно TechCrunch, по состоянию на 2019 год конкурс продолжает проводиться несколько раз в год. Pwn2Own Tokyo проходил с 6 по 7 ноября в Токио, Япония, и ожидался розыгрыш 750 000 долларов наличными и призами. Хаки сосредоточены на браузерах, виртуальных машинах, компьютерах и телефонах. В 2019 году в конкурсе впервые были добавлены автомобили: за взлом с использованием программного обеспечения Tesla было предложено 900000 долларов. В 2019 году к конкурсу добавились системы управления производством.

Победители конкурса получают устройство, которое они использовали, и денежный приз. Победители также получают куртки Masters в честь года их победы.

Этот список заметных взломов неполон.

2007

Конкурс проходил с четверга, 18 апреля, по субботу, 20 апреля 2007 года в Ванкувере. Первый конкурс был призван подчеркнуть незащищенность операционной системы Apple Mac OS X, поскольку в то время существовало широко распространенное мнение, что OS X намного безопаснее, чем ее конкуренты. Что касается правил, то только два ноутбука MacBook Pro, один 13 дюймов и один 15 дюймов, были оставлены в конференц-зале CanSecWest и подключены к отдельной беспроводной сети. Были разрешены только определенные атаки, и эти ограничения постепенно снимались в течение трех дней конференции. В день 1 разрешены только удаленные атаки, в день 2 включены атаки через браузер, а в день 3 разрешены локальные атаки, когда участники могут подключаться с помощью USB-накопителя USB или Bluetooth. Чтобы выиграть 15-дюймовый MacBook Pro, участники должны будут дополнительно повысить свои привилегии до root после получения доступа с их первоначальным эксплойтом.

Ноутбуки не были взломаны в первый день После того, как ZDI объявил приз в размере 10 000 долларов, Шейн Маколей позвонил бывшему коллеге Дино Дай Зови из Нью-Йорка и призвал его принять участие в соревнованиях во второй день. За одну ночь Дай Зови нашел и использовал ранее неизвестная уязвимость в библиотеке QuickTime, загруженной Safari. На следующее утро Дай Зови отправил свой код эксплойта Маколею, который разместил его на веб-сайте и отправил организаторам конкурса ссылку на него по электронной почте., ссылка давала Маколи контроль над ноутбуком, выиграв конкурс по доверенности Дая Зови, который подарил Маколею 15-дюймовый MacBook Pro. Дай Зови отдельно продал уязвимость ZDI за приз в размере 10 000 долларов.

2008

Pwn2Own 2008 проходил с четверга, 26 марта, по субботу, 28 марта 2008 г. После успешного конкурса 2007 г. Конкурс расширился за счет включения более широкого спектра операционных систем и браузеров. Конкурс продемонстрирует широко распространенную незащищенность всего программного обеспечения, широко используемого потребителями. Драгос усовершенствовал конкурс с помощью широкой группы отраслевых экспертов, и конкурс был организован ZDI, который снова предлагал купить уязвимости после их демонстрации. Как и в случае со всеми уязвимостями, которые покупает ZDI, подробные сведения об уязвимостях, используемых в Pwn2Own, будут предоставлены затронутым поставщикам, а общедоступные сведения не будут разглашаться до тех пор, пока не будет доступен патч. Все участники, успешно продемонстрировавшие эксплойты на конкурсе, могли продать свои уязвимости ZDI за призы в размере 20 000 долларов в первый день, 10 000 долларов во второй день и 5 000 долларов в третий день. Как и в предыдущем году, в каждый день разрешались только определенные атаки. В число целей входили три портативных компьютера с установленной по умолчанию Windows Vista Ultimate SP1, Mac OS X 10.5.2 или Ubuntu Linux 7.10. В день 1 были только удаленные атаки; участники должны были подключиться к той же сети, что и целевой портативный компьютер, и провести атаку без взаимодействия с пользователем и без аутентификации. В день 2 были включены атаки на браузер и обмен мгновенными сообщениями, а также атаки на вредоносные веб-сайты со ссылками, отправленными организаторам для нажатия. В день 3 были включены сторонние клиентские приложения. Конкурсанты могли ориентироваться на популярное стороннее программное обеспечение, такое как браузеры, Adobe Flash, Java, Apple Mail, iChat, Skype., AOL и Microsoft Silverlight.

Что касается результата, то на второй день конкурса ноутбук под управлением OS X был использован эксплойтом для браузера Safari, совместно написанным Чарли Миллер, Джейк Онофф и Марк Дэниэл из независимых экспертов по оценке безопасности. Их эксплойт был нацелен на подкомпонент браузера Safari с открытым исходным кодом. Ноутбук под управлением Windows Vista SP1 был использован на третий день конкурса с помощью эксплойта для Adobe Flash, написанного в соавторстве с Шейном Маколеем, Александром Сотировым и Дереком Каллэуэем. После конкурса Adobe сообщила, что они совместно обнаружили ту же уязвимость внутри компании и работали над патчем во время Pwn2Own. Ноутбук под управлением Ubuntu не использовался.

2009

Pwn2Own 2009 проходил в течение трех дней CanSecWest с четверга, 18 марта, по субботу, 20 марта 2009 года. После значительно большего успеха в отношении веб-браузеров, чем любая другая категория программного обеспечения. В 2007 году третий Pwn2Own был посвящен популярным браузерам, используемым в операционных системах для настольных компьютеров. Он добавил еще одну категорию мобильных устройств, которые участники конкурса должны были взломать с помощью множества векторов удаленных атак, включая электронную почту, SMS-сообщения и просмотр веб-сайтов. Всем участникам, продемонстрировавшим успешные эксплойты на конкурсе, ZDI предложила награды за основные уязвимости, 5000 долларов за эксплойты браузера и 10 000 долларов за эксплойты мобильных устройств.

Что касается правил веб-браузера, целями браузера были Internet Explorer 8, Firefox и Chrome, установленные на Sony Vaio под управлением Windows 7 Beta и Safari и Firefox установлен на MacBook под управлением Mac OS X. Все браузеры были полностью пропатчены и имели конфигурации по умолчанию в первый день конкурса. Как и в предыдущие годы, соревнование по поверхности атаки расширилось на три дня. В первый день участники должны были задействовать функциональность в браузере по умолчанию без доступа к каким-либо плагинам. На второй день были включены Adobe Flash, Java, Microsoft .NET Framework и QuickTime. На третий день были включены другие популярные сторонние плагины, такие как Adobe Reader. Допускалось несколько победителей на каждую цель, но только тот участник, который первым использовал каждый ноутбук, получал ее. Целевые мобильные устройства включали BlackBerry, Android, Apple (T-Mobile G1 ), Symbian (Nokia N95 ) и телефоны Windows Mobile (HTC Touch ) в конфигурациях по умолчанию.

Как и в случае с конкурсом браузеров, доступная для участников поверхность атаки увеличилась за три дня. Чтобы доказать, что они смогли успешно взломать устройство, участники должны были продемонстрировать, что они могут собирать конфиденциальные данные с мобильного устройства или понести какие-либо финансовые убытки от владельца мобильного устройства. В первый день устройство могло получать SMS, MMS и электронную почту, но сообщения не читались. Wi-Fi (если он включен по умолчанию), Bluetooth (если включен по умолчанию) и радиостек также были включены. На второй день можно было открывать и читать SMS, MMS и электронную почту. Был включен Wi-Fi, и можно было включить Bluetooth и выполнить сопряжение с ближайшей гарнитурой (дополнительное сопряжение запрещено). День 3 позволил одному уровню взаимодействия пользователя с приложениями по умолчанию. Допускалось несколько победителей на одно устройство, но только тот участник, который первым использовал каждое мобильное устройство, получал его (вместе с годовым контрактом на телефонную связь).

Что касается результата, основываясь на повышенном интересе к соревнованиям в 2009 году, ZDI организовал случайный выбор, чтобы определить, какая команда пошла первой по каждой цели. Первым выбранным участником был Чарли Миллер. Он использовал Safari на OS X без помощи каких-либо плагинов для браузера. В интервью после победы в конкурсе Миллер подчеркнул, что, хотя ему потребовалось всего несколько минут, чтобы запустить эксплойт против Safari, ему потребовалось много дней, чтобы исследовать и разработать эксплойт, который он использовал. Исследователь, названный только Нильсом, был выбран для преследования Миллера. Нильс успешно запустил эксплойт против Internet Explorer 8 в Windows 7 Beta. При написании этого эксплойта Нильсу пришлось обойти меры защиты от эксплуатации, которые Microsoft реализовала в Internet Explorer 8 и Windows 7, включая Защита выполнения данных (DEP) и Рандомизация разметки адресного пространства ( ASLR). Нильс продолжал пробовать другие браузеры. Хотя Миллер уже использовал Safari в OS X, Нильс снова использовал эту платформу, а затем перешел к успешной эксплуатации Firefox. Ближе к концу первого дня Жюльен Тиннес и Сами Койву (удаленно) успешно использовали Firefox и Safari на OS X с уязвимостью в Java. В то время в OS X по умолчанию была включена Java, что позволяло надежно эксплуатировать эту платформу. Однако из-за того, что Тиннес уже сообщил об уязвимостях поставщику, участие Тиннеса выходило за рамки правил конкурса и не могло быть вознаграждено. Следующие дни конкурса не привлекли дополнительных участников. Chrome, как и все мобильные устройства, не использовались в Pwn2Own 2009.

2010

Соревнование стартовало 24 марта 2010 года, и его общий денежный призовой фонд составил 100 000 долларов США. 15 марта, за девять дней до начала конкурса, Apple выпустила шестнадцать исправлений для WebKit и Safari. Что касается программного обеспечения для использования, то 40 000 долларов из 100 000 были зарезервированы для веб-браузеров, где каждая цель стоит 10 000 долларов. День 1 включал Microsoft Internet Explorer 8 в Windows 7, Mozilla Firefox 3.6 в Windows 7, Google Chrome 4 в Windows 7 и Apple Safari 4 на Mac OS X Snow Leopard. День 2 включал Microsoft Internet Explorer 8 в Windows Vista, Mozilla Firefox 3 в Windows Vista, Google Chrome 4 в Windows Vista и Apple Safari 4 в Mac OS X Snow Leopard. День 3 включал Microsoft Internet Explorer 8 в Windows XP, Mozilla Firefox 3 в Windows XP, Google Chrome 4 в Windows XP и Apple Safari 4 в Mac OS X Snow Leopard. 60 000 долларов из общего денежного призового фонда в 100 000 долларов были выделены на часть конкурса, посвященную мобильным телефонам, каждая цель стоила 15 000 долларов. К ним относятся Apple iPhone 3GS, RIM BlackBerry Bold 9700, Nokia E72 устройство под управлением Symbian и HTC Nexus One под управлением Android.

Веб-браузер Opera не участвовал в соревнованиях в качестве мишени: команда ZDI утверждала, что у Opera низкая доля рынка и что Chrome и Safari включены только «из-за их присутствия по умолчанию на различных мобильных платформах». Однако механизм визуализации Opera, Presto, присутствует на миллионах мобильных платформ.

Среди успешных эксплойтов был случай, когда Чарли Миллер успешно взломал Safari 4 на Mac OS X. Нильс взломал Firefox 3.6 в Windows 7 64-бит, используя уязвимость повреждения памяти и обходя ASLR и DEP, после чего Mozilla исправил уязвимость безопасности в Firefox 3.6.3. Ральф-Филипп Вайнманн и Винченцо Иоццо взломали iPhone 3GS, обойдя цифровые подписи кода, используемые на iPhone, чтобы убедиться, что код в памяти принадлежит Apple. Питер Вреугденхил эксплуатировал Internet Explorer 8 в Windows 7, используя две уязвимости, которые включали обход ASLR и уклонение от DEP.

2011

Конкурс 2011 года проходил с 9 по 11 марта во время конференция CanSecWest в Ванкувере. В число целевых веб-браузеров конкурса 2011 года входили Microsoft Internet Explorer, Apple Safari, Mozilla Firefox и Google Chrome. Новым в конкурсе Pwn2Own стал тот факт, что была разрешена новая поверхность атаки для проникновения в мобильные телефоны, в частности, по мобильным телефонам baseband. Целевыми объектами мобильных телефонов были Dell Venue Pro с Windows Phone 7, iPhone 4 с iOS, BlackBerry Torch 9800 под управлением BlackBerry OS 6.0 и Nexus S под управлением Android 2.3. Несколько команд зарегистрировались для участия в конкурсе настольных браузеров. Для Apple Safari зарегистрированными конкурентами были VUPEN, Anon_07, Team Anon, Charlie Miller. Mozilla Firefox включал Сэма Томаса и Anonymous_1. В команды разработчиков Microsoft Internet Explorer входили Стивен Фьюер, VUPEN, Сэм Томас и Ахмед М. Слит. В команды разработчиков Google Chrome входили Моатц Хадер, Team Anon и Ахмед М. Слит. В категории мобильных браузеров зарегистрировались следующие команды. Для попытки взлома Apple iPhone в команды входили Anon_07, Дион Блазакис и Чарли Миллер, Team Anon, Anonymous_1 и Ахмед М. Слит. Чтобы взломать RIM Blackberry, командами были Anonymous_1, Team Anon и Ahmed M Sleet. Чтобы взломать Samsung Nexus S, в команды входили Джон Оберхайде, Anonymous_1, Anon_07 и Team Anonymous. Чтобы взломать Dell Venue Pro, в команды входили Джордж Хотц, Team Anonymous, Anonymous_1 и Ахмед М. Слит.

В первый день соревнований Safari и Internet Explorer потерпели поражение от исследователей. Safari была версии 5.0.3, установленной на полностью исправленной Mac OS X 10.6.6. Французская охранная фирма VUPEN первой атаковала браузер. Internet Explorer был 32-битной версией 8, установленной в 64-битной Windows 7 с пакетом обновления 1. Исследователь безопасности Harmony Security успешно использовал IE. Это было продемонстрировано Так же, как и в Safari. В день 2 были использованы iPhone 4 и оба. IPhone работал под управлением iOS 4.2.1, однако недостаток существует в версии 4.3 iOS. Исследователи безопасности Чарли Миллер и Дион Блазакис смогли получить доступ к адресной книге iPhone через уязвимость в Mobile Safari, посетив свою веб-страницу, на которой использовались эксплойты. Телефон Blackberry Torch 9800 работал под управлением BlackBerry OS 6.0.0.246. Команда Винченцо Иоццо, Виллема Пинкаерса и Ральфа Филиппа Вайнманна воспользовалась уязвимостью в веб-браузере Blackberry на базе WebKit, посетив заранее подготовленную веб-страницу. Тестирование Firefox, Android и Windows Phone 7 было запланировано на второй день, но исследователи безопасности, выбранные для этих платформ, не пытались использовать какие-либо эксплойты. Сэм Томас был выбран для тестирования Firefox, но он отказался, заявив, что его эксплойт нестабилен. Исследователи, выбранные для тестирования Android и Windows Phone 7, не появились. На третий день не было ни одной команды. Chrome и Firefox не были взломаны.

2012

На 2012 год правила были изменены на соревнование в стиле захвата флага с балльной системой. Новый формат привел к тому, что Чарли Миллер, успешно выступавший на мероприятии в прошлые годы, решил не присутствовать, так как он требовал написания эксплойтов «на месте», что, как утверждал Миллер, было в пользу более крупных команд. Хакеры выступили против четырех основных браузеров.

На Pwn2Own 2012 впервые успешно взломали Chrome. VUPEN отказался раскрыть, как они сбежали из песочницы, заявив, что они продадут информацию. Следующим был успешно использован Internet Explorer 9 в Windows 7. Firefox стал третьим браузером, который был взломан с помощью эксплойта нулевого дня.

Safari в Mac OS X Lion был единственным браузером, оставшимся после завершения части нулевого дня pwn2own. Версии Safari, которые не были полностью пропатчены и работали в Mac OS X Snow Leopard, были скомпрометированы во время CVE-части pwn2own. В Lion были внесены существенные улучшения в меры безопасности в Mac OS X.

Противоречие с Google

Google отказался от спонсорства мероприятия, поскольку правила 2012 года не требовали полного раскрытия уязвимостей от победителей., в частности эксплойты для выхода из изолированной среды и продемонстрировали эксплойты, которые не «победили». Pwn2Own поддержал это решение, заявив, что, по его мнению, хакеры не будут пытаться использовать Chrome, если их методы будут раскрыты. Google организовал отдельный конкурс «Pwnium», который предлагал до 60 000 долларов за эксплойты, специфичные для Chrome. Об использованных уязвимостях, не связанных с Chrome, было гарантировано немедленно сообщать соответствующему поставщику. Сергей Глазунов и подросток, идентифицированный как «PinkiePie», заработали по 60 000 долларов каждый за эксплойты, обходившие песочницу безопасности. Google выпустил исправление для пользователей Chrome менее чем через 24 часа после демонстрации эксплойтов Pwnium.

2013

В 2013 году Google вернулся в качестве спонсора, и правила были изменены, чтобы требовать полного раскрытия использованные подвиги и техники. Конкурс Mobile Pwn2Own 2013 проходил 13–14 ноября 2013 года во время конференции PacSec 2013 в Токио. Использовались веб-браузеры Google Chrome, Internet Explorer и Firefox, а также Windows 8 и Java. Adobe также присоединилась к конкурсу, добавив Reader и Flash. Apple Safari на Mountain Lion не стал мишенью, так как не было ни одной команды.

Французская охранная компания VUPEN успешно использовала полностью обновленный Internet Explorer 10 на Microsoft Surface Pro под управлением 64-разрядной версии Windows 8 и полностью обошла изолированную программную среду защищенного режима без сбоев или зависания браузера. Затем команда VUPEN использовала Mozilla Firefox, Adobe Flash и Oracle Java. Пинки Пай выиграла 50 000 долларов, и 14 ноября Google выпустила обновления Chrome для устранения использованных уязвимостей. Нильс и Джон из MWRLabs успешно использовали Google Chrome, используя WebKit и недостатки ядра Windows для обхода песочницы Chrome, и выиграли 100 000 долларов. Джордж Хотц использовал Adobe Acrobat Reader и сбежал из песочницы, чтобы выиграть 70 000 долларов. Джеймс Форшоу, Джошуа Дрейк и Бен Мерфи независимо друг от друга использовали Oracle Java и выиграли по 20 000 долларов каждый.

В мобильном конкурсе участники выиграли 117 500 долларов из призового фонда в 300 000 долларов.

2014

На Pwn2Own 2014 в марте, проходившем в Ванкувере на конференции CanSecWest, при спонсорской поддержке Hewlett-Packard. Все четыре целевых браузера достались исследователям, и участники в целом выиграли 850 000 долларов из доступного пула в 1 085 000 долларов. VUPEN успешно использовал полностью обновленный Internet Explorer 11, Google Chrome, Adobe Flash и Mozilla Firefox. на 64-битной версии Windows 8.1, чтобы выиграть в общей сложности 400 000 долларов - самую высокую выплату одному конкуренту на сегодняшний день. Всего компания использовала 11 различных уязвимостей нулевого дня.

Среди других успешных эксплойтов в 2014 году Internet Explorer 11 был использован Себастьяном Апельтом и Андреасом Шмидтом за приз в 100 000 долларов. Apple Safari в Mac OS X Mavericks и Adobe Flash в Windows 8.1 были успешно использованы Лян Ченом из Keen Team и Цзегуаном Чжао из team509. Mozilla Firefox использовался трижды в первый день и еще раз во второй день, при этом HP присудила исследователям 50 000 долларов за каждую обнаруженную в этом году ошибку Firefox. И Вупен, и анонимный участник использовали Google Chrome. Вупен заработал 100 000 долларов за взлом, в то время как его анонимный участник получил уменьшенный приз в размере 60 000 долларов, поскольку их атака основывалась на уязвимости, обнаруженной накануне на конкурсе Google Pwnium. Кроме того, Нико Джоли из команды VUPEN взялся за Windows Phone (Lumia 1520 ), но не смог получить полный контроль над системой. В 2014 году Keen Lab взломала Windows 8.1 Adobe Falsh за 16 секунд, а также систему OSX Mavericks Safari за 20 секунд.

2015–2017

Все доступные призы были разыграны в 2015 году в Март в Ванкувере, и все браузеры были взломаны на общую сумму 557 500 долларов и другие призы. Лучшим хакером оказался Чон Хун Ли, который получил «IE 11, стабильную и бета-версию Google Chrome, а также Apple Safari» и заработал 225 000 долларов призовых. Другие взломы включали взлом Team509 и KeenTeem в Adobe Flash и другие взломы в Adobe Reader. Всего было обнаружено 5 ошибок в операционной системе Windows, 4 в Internet Explorer 11, 3 в Firefox, Adobe Reader и Adobe Flash, 2 в Safari и 1 в Chrome. Google перестал быть спонсором Pwn2Own в 2015 году.

На конкурсе в марте 2016 года «каждая из победивших работ смогла избежать использования песочницы за счет использования уязвимостей в базовых ОС». В 2016 году были взломаны Chrome, Microsoft Edge и Safari. По словам Брайана Горенца, менеджера по исследованию уязвимостей в HPE, они решили не включать Firefox в этом году, поскольку они «хотели сосредоточиться на браузерах, в которых [были] внесены серьезные улучшения в безопасности за последний год». В 2016 году Qihoo360 успешно взломал Pixel менее чем за 60 секунд.

В марте 2017 года в Ванкувере хакеры впервые взломали песочницу виртуальной машины VMWare. В 2017 году у Chrome не было успешных взломов (хотя только одна команда пыталась нацелить Chrome), последующие браузеры, которые лучше всего показали себя, были, по порядку, Firefox, Safari и Edge. Mobile Pwn2Own прошел 1 и 2 ноября 2017 года. В конкурсе приняли участие представители Apple, Google и Huawei. Также были успешно взломаны различные смартфоны, в том числе с программным обеспечением Apple iOS 11.1. «11 успешных атак» были направлены против iPhone 7, iPhone и Samsung Galaxy S8. Google Pixel взломан не был. В целом ZDI в том году выделила 833 000 долларов на обнаружение 51 ошибки нулевого дня. Команда Qihoo 360 выиграла главный приз в 2017 году.

2018

В 2018 году конференция была намного меньше, и ее спонсировала в основном Microsoft. Китай запретил своим исследователям безопасности участвовать в конкурсе, несмотря на то, что в прошлом китайские граждане побеждали, и запретил разглашать уязвимости системы безопасности иностранцам. В частности, не вошли Keen Labs Tencent и 360Vulcan из Qihoo 360, как и другие граждане Китая. Впоследствии A был разработан как «китайская версия Pwn2Own», также проводимая дважды в год. Кроме того, незадолго до конференции 2018 года Microsoft исправила несколько уязвимостей в Edge, в результате чего многие команды отказались от участия. Тем не менее, определенные возможности были обнаружены в Edge, Safari, Firefox и других. Попыток взлома Chrome не предпринималось, хотя предлагаемая награда была такой же, как и для Edge. В итоге хакерам было присуждено 267000 долларов. Хотя многие продукты Microsoft были доступны для всех, кто смог получить доступ через них, успешно использовались только Edge, а также Safari и Firefox.

2019

Состоялся конкурс в марте 2019 года. в Ванкувере на конференции CanSecWest с категориями, включая VMware ESXi, VMware Workstation, Oracle VirtualBox, Chrome, Microsoft Edge и Firefox, а также Tesla. Tesla представила свой новый седан Model 3, где пара исследователей заработала 375 000 долларов и автомобиль, который они взломали после обнаружения серьезной ошибки в информационно-развлекательной системе автомобиля. Это был также первый год, когда был разрешен взлом устройств из категории домашней автоматизации.

В октябре 2019 года Politico сообщил, что в следующем выпуске Pwn2Own системы промышленного управления. Pwn2Own Tokyo проходил с 6 по 7 ноября, и ожидалось, что на нем будет разыграно 750 000 долларов наличными и призами. Портал Facebook, а также Amazon Echo Show 5, Google Nest Hub Max, Amazon Cloud Cam и Nest Cam IQ Indoor. Также был представлен комплект виртуальной реальности Oculus Quest. В 2019 году команда выиграла 60 000 долларов, взломав Amazon Echo Show 5. Они сделали это, взломав «пробел в патчах», который объединял старое программное обеспечение, исправленное на других платформах, поскольку умный экран использовал старую версию Chromium. Команда поделилась результатами с Amazon, которая заявила, что расследует взлом и предпримет «соответствующие меры».

2020

В Майами на S4 состоялся новый выпуск конкурса Pwn2Own. конференция, только с категориями SCADA и HMI.

Следующее издание Pwn2Own состоится в марте 2020 года в Ванкувере на конференции CanSecWest.

• Конкурентное программирование
• Белая шляпа (компьютерная безопасность)
• DEF CON

• CanSecWest Applied Security Conference