联想ThinkPlus指纹U盘被曝实为明文SD卡 三款产品存高危漏洞

2025年3月，安全研究员Xusheng Li在技术会议披露，联想ThinkPlus FU100指纹U盘内部实为一张未加密SD卡，标称的AES-256硬件加密纯属虚假宣传，指纹模块仅用于开关USB通路，无任何数据保护功能。Li于2025年8月提交漏洞报告后，联想初期以环氧树脂覆盖SD卡表面应对，12月推出正式修复固件，覆盖FU100、FU200、TU800三款U盘及TSD303外置SSD，并提供免费更换或固件升级服务（热线：+86 400-640-1886）。但后续分析显示，TSD303早期固件曾明文传输密码，虽经更新改用SM4加密，其密钥却由固定时间戳生成，可被轻易还原。2026年1月13日，联想发布安全公告LEN-210545，评定为高危，分配CVE-2025-13453至CVE-2025-13455三个编号，涉及物理访问泄露、本地提权及绕过指纹认证等问题。AI辅助调查进一步发现，朗科、KakaSoft、Nexcopy与御天盾四家厂商同类产品亦存在硬编码密钥与后门账户。行业专家指出，问题根源在于OEM组装模式下缺乏统一安全架构，营销导向导致“带指纹即安全”误导消费者；真正硬件加密需专用控制器与密钥隔离机制，而FU100方案成本低廉却售价高达399元。该事件已引发政企用户风险关注，某省级政务云项目曾因此批量召回同类设备。目前联想推进第二轮修复，使TSD303硬盘独立校验密码，但安全社区认为除非重构硬件并引入TEE，否则难达真实加密标准。