De encryptiesoftware VeraCrypt blijkt nog steeds een kwetsbaarheid te bevatten die volgens de ontwikkelaar in februari al was opgelost. Het gaat om een dll-kwetsbaarheid waardoor een aanvaller, als hij een kwaadaardig dll-bestand in de directory weet te krijgen waar ook het installatieprogramma van VeraCrypt staat, de computer kan worden overgenomen als de installatie wordt gestart.

Dit probleem speelt alleen bij de Windowsversie. De kwetsbaarheid werd door beveiligingsonderzoeker Stefan Kanthak ontdekt. Hij waarschuwde eind vorig jaar de ontwikkelaar van VeraCrypt. Vervolgens besloot Kanthak met de VeraCrypt-ontwikkelaar samen te werken totdat er een installatiebestand zonder de kwetsbaarheid was gemaakt. In februari verscheen er een nieuwe versie van VeraCrypt waarin de ontwikkelaar liet weten dat het dll-probleem was verholpen.

Kanthak waarschuwde de ontwikkelaar destijds dat het probleem mogelijk weer kon terugkomen als Microsoft aanpassingen aan de afhankelijkheden van de dll-bestanden zou doorvoeren. De beveiligingsonderzoeker meldt nu dat hij de meest recente versie van VeraCrypt opnieuw heeft getest en de encryptiesoftware nog steeds (of weer) kwetsbaar blijkt te zijn. Op 1 juli waarschuwde hij de VeraCrypt-ontwikkelaar, maar ontving geen reactie. Daarom heeft hij nu zijn bevindingen openbaar gemaakt. VeraCrypt is op TrueCrypt-gebaseerde encryptiesoftware waarin verschillende kwetsbaarheden zijn verholpen en verbeteringen zijn doorgevoerd.