コンテストで示された脆弱性を修正するMozilla Firefoxブラウザーの更新プログラムは、既にユーザーにリリースされています。 他のブラウザのアップデートは後日提供されます。 コンテストの2日間、レジシャーはなんとか557,500ドルを稼ぎ、宣言されたすべてのブラウザーとプラグインはハッキングに成功しました。
大会2日目の有償資金は次のように分配されました。
- Mozilla Firefox x 1 = 15,000ドル
- MS IE11 x 1 = 65,000ドル
- Google Chrome x 1 = 75Kドル+ 25K（サンドボックスバイパス、SYSTEM）+ 10Kドル（ベータ版の悪用）= 110Kドル
- Apple Safari x 1 = 5万ドル
= 24万ドルの現金。
競合他社は、ブラウザがOS内のタブのプロセスを分離するために使用するサンドボックスメカニズムをバイパスすることに成功しました。 Windows自体の脆弱性を悪用した場合、$ 25Kの追加報酬が支払われました。これにより、SYSTEMの最大特権レベル（ 完全なサンドボックスバイパス ）でコードを実行できました。 IE11の場合、ブラウザプロセスに特別なJavaScriptフラグメントを導入することにより、サンドボックス（EPM）メカニズムがバイパスされ、コードを中整合性レベル（IL）で実行できるようになりました。 Google Chromeの場合、RCEの脆弱性自体を悪用することに加えて、WindowsのLPEの悪用が実証され、システムの特権をSYSTEMレベルに高めることができました。 研究者はまた、ブラウザのベータ版を侵害することに成功しました。
競争の両日で、次の製品の脆弱性が実証されました。
- Windowsの5つの脆弱性。
- IE11の4つの脆弱性。
- Firefoxの3つの脆弱性。
- Adobe Readerの3つの脆弱性。
- Adobe Flashの3つの脆弱性。
- Apple Safariの2つの脆弱性。
- Chromeの1つの脆弱性。
このエクスプロイトは、ターゲットと互換性のあるMicrosoftのすべてのEnhanced Mitigation Experience Toolkit（最新バージョン）の軽減保護が完全に有効になっているときに機能する必要があります。 攻撃で利用される脆弱性は不明であり、未公開であり、以前にベンダーに報告されていないものでなければなりません。
今年は、64ビットアプリケーションとOSの使用に加えて、悪用の難易度が引き上げられ、規制によりシステム内のアクティブなMS EMETツールの存在が決定されました。これにより、DEPやASLR。 いつものように、実証された脆弱性とそれらのエクスプロイトは以前は不明（0day）であったに違いないので、コンテストの前に公表されるべきではありませんでした。