보안 · 2026년 11월 4일
다른 언어로도 게시됨 日本語
Lenovo ThinkPlus 지문 인식 USB 드라이브에서 심각한 보안 취약점 발견
Lenovo, Netac, KakaSoft, Nexcopy, Yutian Dun의 USB 드라이브에서 보안 취약점이 발견되었습니다.
Lenovo ThinkPlus FU100 지문 인식 USB 드라이브는 AES-256 하드웨어 암호화를 사용한다고 주장했으나, 실제로는 데이터가 SD 카드에 평문으로 저장되어 있었습니다. 연구원 Xusheng Li가 작년에 해당 제품을 분해한 결과, 내부 회로 보드에 장착된 SD 카드 내의 데이터가 아무런 암호화 없이 저장되어 있음을 확인했습니다. 지문 인식기는 단순히 컴퓨터와의 연결 여부만 결정하며, 카드 내의 파일은 지문 인식 기능으로 보호되지 않았습니다.
Lenovo는 작년 8월에 보고를 받은 후 SD 카드 위에 에폭시 수지를 덮어 분해 난이도를 높이는 임시 해결책을 마련했으며, 공식 해결책은 작년 12월에 출시했습니다. FU100 사용자는 서비스 센터를 통해 기기 교체 또는 펌웨어 업그레이드를 신청할 수 있습니다.
Lenovo ThinkPlus TSD303 지문 인식 외장 SSD에서도 취약점이 발견되었습니다. 이 제품은 M.2 SSD를 사용하며 데이터는 암호화되어 있었으나, 컴퓨터의 Lenovo 프로그램이 비밀번호를 요청할 때 하드디스크가 USB 데이터선을 통해 올바른 비밀번호를 평문으로 반환했습니다. 통신 데이터를 모니터링하거나 프로그램을 읽을 수 있는 사람은 누구나 비밀번호를 획득할 수 있는 구조였습니다.
Lenovo는 이후 비밀번호 대신 암호화된 데이터를 전송하는 테스트 수정 버전을 제공했습니다. 하지만 이 데이터는 시간 기록과 유사한 수치로 생성된 키를 사용하는 SM4 암호화 알고리즘을 통해 생성되었으며, 해독 도구로 복원이 가능했습니다. 프로그램 자체가 키를 도출할 수 있으므로 프로그램을 분해한 사람 역시 이를 수행할 수 있어 수정이 불완전한 것으로 나타났습니다. 이에 따라 2025년 12월에 하드디스크가 스스로 비밀번호를 검증하는 두 번째 수정 방안이 출시되었습니다.
Lenovo는 2026년 1월 13일에 고위험 등급의 보안 공고 LEN-210545를 발표했습니다. 여기에는 물리적 접근 권한자가 데이터를 읽을 수 있는 CVE-2025-13453, 로그인 사용자가 민감한 정보에 접근할 수 있는 CVE-2025-13454, 그리고 인증을 우회하여 신뢰할 수 없는 지문을 등록할 수 있는 CVE-2025-13455의 세 가지 취약점 번호가 포함되었습니다.