セキュリティ · 2026年11月4日
他の言語でも公開 한국어
联想ThinkPlus製品に深刻な脆弱性、データが平文で保存されていた
2026年11月1日、複数のUSBストレージ製品に深刻なセキュリティ脆弱性が存在することが明らかになった。対象となるのは、Lenovo、Netac、KakaSoft、Nexcopy、Yutianshunの5社が製造したUSBドライブである。特にLenovoの指紋認証付きUSBメモリは、AES-256ハードウェア暗号化を謳っているにもかかわらず、データがSDカード上に平文で保存されていた。
研究者のXusheng Li氏は、Lenovo ThinkPlus FU100の内部構造を分析し、SDカードに暗号化なしでデータが格納されていることを確認した。指紋認証機能はUSB接続の通断のみを制御しており、ファイル自体の保護には機能していなかった。Lenovoは2025年8月に報告を受け、SDカードをエポキシ樹脂で覆う暫定措置を講じた後、2025年12月に正式な修正版を提供した。
Lenovo ThinkPlus TSD303の外付けSSDにも脆弱性が確認された。この製品はデータを暗号化しているが、Lenovoのソフトウェアがパスワードを要求した際、USB経由で平文のパスワードが返送されていた。通信データを監視できる者は誰でもパスワードを取得できる状態だった。修正版では暗号化データが送られるようになったが、その鍵はSM4暗号化アルゴリズムで生成されており、2021012700000000という値から復元可能だった。Lenovoは2026年1月13日に脆弱性を高危険と評価する安全公告LEN-210545を発行し、3つのCVE番号を公表した。FU100の利用者はLenovo中国のサポート窓口を通じて無償アップグレードを申請できる。TSD303の第2版修正は2025年12月に提供され、ハードディスク自身がパスワードを検証する仕組みに変更された。