联想 ThinkPlus 指纹识别 U 盘被曝严重安全漏洞：宣称 AES-256 硬件加密，实际数据明文保存于 SD 卡
要点
据外媒报道，联想、朗科、KakaSoft、Nexcopy 及御天盾五家厂商的 USB 驱动器被发现存在安全漏洞。其中，一款联想指纹识别 U 盘宣称使用 AES-256 硬件加密，但实际数据明文存储于 SD 卡。 研究员拆解联想 ThinkPlus FU100 指纹识别 U 盘后…
据外媒报道，联想、朗科、KakaSoft、Nexcopy 及御天盾五家厂商的 USB 驱动器被发现存在安全漏洞。其中，一款联想指纹识别 U 盘宣称使用 AES-256 硬件加密，但实际数据明文存储于 SD 卡。
研究员拆解联想 ThinkPlus FU100 指纹识别 U 盘后发现，产品内部电路板上装有一张 SD 卡，内部数据完全明文存储、没有任何加密；指纹识别器实际上只决定 U 盘是否与电脑连接的通断，卡中文件并不受指纹识别功能保护。该研究员于去年 8 月向联想报告问题后，联想准备了临时修复方案，即往 SD 卡上覆盖一层环氧树脂以增加拆下难度，正式修复方案于去年 12 月推出。
与此同时，联想 ThinkPlus TSD303 指纹识别外置 SSD 也存在漏洞。该产品内部使用标准尺寸 M.2 SSD，数据确实经过加密，但当电脑上的联想程序请求密码时，硬盘会通过 USB 数据线明文返回正确密码，任何能监控通信数据或读取程序的人都可获知密码。研究员提交漏洞报告三个月后，联想发来测试修复版本，新版本不再发送明文密码，而是发送加密数据，但进一步追踪发现其来自 SM4 加密算法，密钥由一个类似时间戳的数值生成，测试中该密钥可通过解密工具成功还原，意味着修复并不完整。
联想已于 2026 年 1 月 13 日发布安全公告 LEN-210545，漏洞评级为高危，列出三个 CVE 编号：CVE-2025-13453（部分 ThinkPlus U 盘存在漏洞，拥有设备物理访问权限者可读取其中存储的数据）、CVE-2025-13454（ThinkPlus 配置软件存在漏洞，本地已登录用户可访问设备敏感信息）、CVE-2025-13455（配置软件存在漏洞，本地已登录用户可绕过设备身份验证并注册不受信任的指纹）。FU100 用户可联系联想申请免费升级，由工作人员更换设备或上门升级固件。
