联想 ThinkPlus FU100 指纹U盘被曝明文存储漏洞,联想2026年1月13日发布高危安全公告LEN-210545并列三个CVE,TSD303第二版修复于2025年12月推出
据外媒 HackingPassion 本周报道,联想、朗科、KakaSoft、Nexcopy 及御天盾五家厂商的 USB 驱动器被发现安全漏洞。研究员 Xusheng Li 去年拆解联想 ThinkPlus FU100 指纹识别 U 盘后发现,该产品宣称使用 AES-256 硬件加密,但内部电路板上装着一张 SD 卡,内部数据完全明文存储、没有任何加密;指纹识别器实际上只决定 U 盘与电脑连接的通断,卡中文件不受指纹识别功能保护。研究员去年 8 月向联想报告问题后,联想准备了临时修复方案(在 SD 卡上覆盖环氧树脂以增加拆下难度),正式修复方案于去年 12 月推出。联想 ThinkPlus TSD303 指纹识别外置 SSD 同样存在漏洞:其内部使用标准尺寸 M.2 SSD 且数据确实经过加密,但当电脑的联想程序请求密码时,硬盘会通过 USB 数据线明文返回正确密码。研究员提交漏洞报告三个月后,联想发来测试修复版本,新版本不再发送明文密码,但研究员追踪发现其发送的是 SM4 加密算法产生的数据,密钥由一个类似时间戳的数值生成,测试中该密钥为 2021012700000000,能够通过解密工具成功还原,说明修复并不完整。联想已在 2026 年 1 月 13 日发布安全公告 LEN-210545,漏洞评级为高危,列出三个 CVE 编号:CVE-2025-13453(部分 ThinkPlus U 盘漏洞,拥有设备物理访问权限的人可读取其中存储的数据)、CVE-2025-13454(配置软件漏洞,本地已登录用户可访问设备敏感信息)、CVE-2025-13455(配置软件漏洞,本地已登录用户可绕过设备身份验证并注册不受信任的指纹)。FU100 用户可拨打联想中国服务热线 +86 400-640-1886 申请免费升级,联想核对设备序列号后安排寄回设备更换或由工作人员上门升级固件;针对 TSD303 的第二版修复方案于 2025 年 12 月推出,该版本中硬盘会自行验证密码。
- Related manufacturers
- 联想, 朗科, KakaSoft, Nexcopy, 御天盾
- Part numbers
- ThinkPlus FU100ThinkPlus TSD303
- Impact score
- 20 / 100, low impact