- 发布日期
宣称 AES-256 硬件加密，实际数据明文保存于 SD 卡
- 作者
- 姓名
- 荷鲁斯快报
- 社交账号
联想等五家厂商的USB驱动器被发现安全漏洞。研究员Xusheng Li拆解联想ThinkPlus FU100指纹识别U盘后发现，该产品宣称AES-256硬件加密，实际数据明文存储于SD卡。该问题令其加密宣称受到质疑。
FU100内部电路板装有一张SD卡，卡中数据完全明文存储、没有任何加密。指纹识别器只决定U盘与电脑连接的通断，卡中文件不受指纹功能保护。去年8月研究员向联想报告后，联想以覆盖环氧树脂作为临时修复，正式修复于去年12月推出。
联想ThinkPlus TSD303指纹识别外置SSD也存在漏洞。该产品内部使用标准M.2 SSD，数据确实加密；但电脑上的联想程序请求密码时，硬盘会通过USB数据线明文返回正确密码。任何能监控通信或读取程序的人均可获得密码。
研究员提交报告三个月后，联想发来测试修复版本。新版本不再发送明文密码，而发送加密数据。研究员初认为这是密码哈希，后通过调试器追踪发现其来自SM4加密算法。
测试显示，SM4密钥由一个看似时间戳的数值生成，测试密钥为2021012700000000，可通过解密工具还原。这意味着修复并不完整，因为程序本身能推导密钥，拆解程序者同样可以做到。
联想于2026年1月13日发布安全公告LEN-210545，评级为高危，并列出三个CVE编号。CVE-2025-13453可让拥有物理访问权限者读取部分ThinkPlus U盘数据。CVE-2025-13454允许本地已登录用户访问配置软件中的敏感信息。CVE-2025-13455允许此类用户绕过设备身份验证并注册不受信任指纹。
FU100用户应拨打联想中国服务热线+86 400-640-1886申请免费升级。联想将核对序列号，安排寄回更换或工作人员上门升级固件。TSD303第二版修复于2025年12月推出，硬盘会自行验证密码。
