PWN2OWN 2021最終結果発表：ハッキング試行の約90%が成功という衝撃の実績

PWN2OWN 2021 最終日のハイライト

倫理的ハッキングコンテスト「Pwn2Own」の決勝戦が、4月8日の最終種目をもってついに幕を閉じました。最終日の結果は、完全な成功と部分的な成功がちょうど半々という内訳でした。大会は午前9時、Benjamin McBride氏がParallels DesktopからホストOS上でコードを実行することに成功し、4万ドルを獲得したことで華々しいスタートを切りました。

続く4つの種目——Microsoft Exchange、Ubuntu Desktop、Windows 10、Parallels Desktop——は、いずれも「部分的成功」と判定されました。これは、使用された攻撃手法や報告されたバグが、すでに各ベンダーによって把握されていたためです。これらの種目では賞金は授与されませんでしたが、「Master of Pwn」の称号に向けたポイントが与えられました。この日の大きな注目点のひとつがAlisa Esage氏の挑戦です。同氏は独立系研究者として参加した初の女性であり、仮想化カテゴリーでParallels Desktopを標的としました。

最後の3種目——Ubuntu Desktop、Parallels Desktop、Windows 10デスクトップ——はすべて成功に終わり、賞金が授与されました。まずVincent Dehors氏が、ダブルフリー（double-free）バグを悪用してUbuntuデスクトップでroot権限への昇格に成功し、3万ドルを獲得しました。続く4万ドルはDa Lao氏が獲得。同氏はParallels Desktopにおいて、OOB Write（範囲外書き込み）によるゲストからホストへのエスケープを成し遂げました。そして大会全体を締めくくったのはMarcin Wiazowski氏です。UAF（Use-After-Free）バグを利用してWindows 10マシンでのSYSTEM権限取得に成功し、なんと4万ドルという大金を手にしました。

大会全体はVMwareがスポンサーを務め、Adobe、Zoom、Teslaなどもパートナーとして参加しました。各ベンダーには、報告された脆弱性への修正プログラムを提供するまでに90日間の猶予期間が設けられています。見逃した方のために、3日間の全結果をまとめたレポートを以下にご紹介します。

3日間の全戦績一覧

総括：驚異的な91%の成功率が意味するもの

上記の表を見れば一目瞭然です。予定されていた23の試技のうち、失敗に終わったのはわずか2件（制限時間内にタスクを完了できなかったケース）のみ。残りは5件が部分的成功、16件が完全成功という結果でした。「部分的成功」と呼ばれた5件は、使用された手法やバグがすでに大会開始前から知られていたためです。

完全な結果および詳細については、こちらをご覧ください。

ここで私たちが考えるべきは、部分的成功を含めて成功件数を合計すると、23件中21件、つまり成功率が約91%に達するという事実です。「私たちが日常的に使っているOSやソフトウェアは、ハッカーに対してそれほど無防備なのだろうか？」この問いについて、ぜひ一度立ち止まって考えてみてください。皆さんのご意見は、下のコメント欄でお待ちしています。