山东
IT之家11月1日消息，据外媒 HackingPassion 本周报道，联想、朗科、KakaSoft、Nexcopy 及御天盾五家厂商的 USB 驱动器被发现安全漏洞。其中一款联想的指纹识别 U 盘宣称使用 AES-256硬件加密，但实际上数据明文存储于 SD 卡。
联想指纹U盘翻车
IT之家从原报道获悉，研究员 Xusheng Li 去年拆解联想 ThinkPlus FU100指纹识别 U 盘后发现，这款产品的内部电路板上装着一张 SD 卡，内部数据完全明文存储、没有任何加密。指纹识别器实际上只决定 U 盘是与电脑连接的通断，卡中的文件并不受指纹识别功能保护。
这名研究员去年8月向联想报告问题后，联想准备了一个临时修复方案：往 SD 卡上覆盖一层环氧树脂，增加拆下的难度，正式修复方案则是在去年12月推出。
同时，联想 ThinkPlus TSD303指纹识别外置 SSD 也存在漏洞。该产品内部使用了标准尺寸的 M.2 SSD，数据确实经过加密。然而当电脑的联想程序请求密码时，硬盘会通过 USB 数据线明文返回正确密码。任何能监控通信数据或是读取程序的人，都可以获得到密码。
研究员提交漏洞报告三个月后，联想发来测试修复版本。新版本中硬盘不再发送明文密码，而是发送加密数据。研究员最初认为这可能是密码的哈希值，随后通过调试器追踪这段数据的来源。最终发现，它来自 SM4加密算法。这是一种与 AES 类似的分组密码算法，其密钥则由一个看起来像时间戳的数值生成。
在测试中，该密钥为2021012700000000，能够通过解密工具成功还原。这代表着联想的修复并不完整，因为程序本身能够推导出密钥，拆解程序的人同样可以做到这一点。
此外，联想已在2026年1月13日发布安全公告 LEN-210545，漏洞评级为高危，列出了三个 CVE 编号：
- CVE-2025-13453：部分 ThinkPlus U 盘存在漏洞，能够让拥有设备物理访问权限的人读取其中存储的数据。
- CVE-2025-13454：ThinkPlus 配置软件存在漏洞，本地已登录用户可以访问设备敏感信息。
- CVE-2025-13455：配置软件存在漏洞，本地已登录用户可以绕过设备身份验证，并注册不受信任的指纹。
FU100指纹识别 U 盘用户应拨打联想中国服务热线 +86 400-640-1886，申请免费升级。联想会核对设备序列号，安排用户寄回设备进行更换，或由工作人员上门升级固件。
针对 TSD303的第二版修复方案于2025年12月推出。在这一版本中，硬盘会自行验证密码。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
