Pwn2Own Berlin: Orange Tsai gewinnt 175.000 Dollar mit Edge-Angriff

Im Mai 2026 sicherte sich der Sicherheitsforscher Orange Tsai vom Unternehmen DEVCORE beim Wettbewerb Pwn2Own in Berlin ein Preisgeld in Höhe von 175.000 US-Dollar.

Tsai demonstrierte vor Ort einen vollständigen Ausbruch aus der Sandbox des Browsers Microsoft Edge sowie die anschließende Ausführung von Schadcode unter Windows. Der Angriff kam dabei vollständig ohne Speicherkorruption aus und stützte sich ausschließlich auf eine Kette aus reinen Logikfehlern.

Wie am 28. Oktober 2026 in Branchenberichten bekannt wurde, veröffentlichte Tsai rund fünf Monate nach dem Wettbewerb die technischen Details der Methode. Für seine Leistung erhielt er zudem den Pwnie Award 2026 in der Kategorie „Epic Achievement“. Der finale Exploit umfasst weniger als 100 Zeilen Code und entstand laut den Berichten in rund zwei Monaten manueller Entwicklungsarbeit ohne den Einsatz künstlicher Intelligenz.

Klickfreie Kette über Edge-Funktionen

Als Einstiegspunkt der Angriffskette fungierte eine Funktion in Microsoft Edge mit der Bezeichnung „conditional access navigation throttle“. Durch diesen Mechanismus wurde eine Seitennavigation an den falschen Browser-Tab gekoppelt. Dies erzeugte ein universelles Cross-Site-Scripting-Primitiv (UXSS), wodurch sich die Content Security Policy des Browsers umgehen ließ.

Angesichts solch komplexer Sicherheitslücken in Browsern und Betriebssystemen wird ein proaktiver Basisschutz für den eigenen Rechner immer wichtiger. Erfahren Sie in diesem kostenlosen Experten-Report, wie Sie Ihren Windows-PC in wenigen Schritten effektiv vor unbefugtem Zugriff schützen. Kostenlosen Sicherheits-Report jetzt herunterladen

Vier weitere Schwachstellen ermöglichten es dem Forscher, den Exploit vollständig ohne Benutzerinteraktion auszuführen. Dazu gehörte die Umgehung der Sicherheitsprüfung für vertrauenswürdige Quellen über ein zweites Browserfenster sowie das Aushebeln des Popup-Blockers über eine hardcodierte Adressliste.

Zudem setzte der Ablauf eine bereits erfolgte Benutzeranmeldung über die automatische Anmeldefunktion von Edge voraus. Durch eine Cross-Origin-Fehlkonfiguration auf assets.msn.com konnten überdies E-Mails ausgelesen werden.

Sandbox-Ausbruch und Code-Ausführung

Den Ausbruch aus der Browser-Sandbox vollzog Tsai über den Lese-Modus (Immersive Reader). Dessen interne Protokolladresse mit dem Präfix read:// befand sich nicht auf der Script-Sperrliste. Dies ermöglichte die Nutzung einer internen Funktion zur Erstellung von Zip-Logdateien, über welche eine Datei an einem beliebigen Speicherort auf dem Datenträger abgelegt werden konnte.

Die abschließende Code-Ausführung auf dem Windows-System erfolgte durch das Überschreiben der Konfiguration für Protokollhandler. Anschließend wurde ein Link mit dem Protokoll telnet:// aufgerufen, bei dem Windows nach dem entsprechenden Programm im Systempfad sucht. Ein Neustart des Browsers war Teil des Ablaufs, diente nach Angaben des Forschers jedoch lediglich dem reibungslosen Ablauf während der Wettbewerbsbedingungen.

Wer sich mit der Absicherung von Windows-Systemen befasst, steht oft vor technischen Hürden bei der Fehlerbehebung. Dieser Gratis-Ratgeber bietet schnelle Hilfe bei typischen Systemproblemen und macht den Rechner ohne teure IT-Unterstützung wieder einsatzbereit. Erste Hilfe für Windows 11 kostenlos sichern

Laut Microsoft sind bisher keine Ausnutzungen der Schwachstellenkette in freier Wildbahn bekannt geworden. Die entsprechenden CVE-Einträge verzeichnen den Ausnutzungsstatus mit dem Wert „none“.