#互联网观察
▎联想指纹加密 U 盘被曝存在严重安全漏洞：宣称 AES-256 加密，内部竟是一张普通 SD 卡
10 月 29 日，据网络安全媒体 HackingPassion 报道，安全研究人员 Xusheng Li 通过拆解发现，联想 ThinkPlus FU100 指纹 U 盘虽然宣称采用 AES-256 硬件加密技术，但实际存储数据的只是一张普通 SD 卡，文件以明文形式保存，完全没有经过加密。
研究发现，该产品的指纹识别功能仅用于控制 USB 设备的连接状态。攻击者只需拆开外壳，直接读取内部 SD 卡，即可绕过指纹验证，访问其中的文件。
更令人意外的是联想最初的修复方式。
研究人员早在 2025 年 8 月 2 日就向联想报告了这一问题。8 月 27 日，联想提供的临时解决方案是在 SD 卡表面覆盖一层环氧树脂，以增加物理拆卸和读取的难度。
2026 年 1 月，联想正式发布安全公告，相关漏洞被登记为 CVE-2025-13453，涉及 ThinkPlus FU100、FU200、TU800 和 TSD303 等第一代产品。
目前，联想已针对受影响设备提供免费升级或更换方案，用户可通过官方客服确认处理方式。
🔐 安全提醒： 指纹识别、密码验证与数据加密属于不同的安全机制。对于存储敏感文件的移动设备，应优先确认其是否真正采用可靠的加密技术，避免因设备丢失或被拆解导致数据泄露。
消息来源：HackingPassion、联想安全公告、CVE-2025-13453
频道 @AppDoDo 官推 APPDOTG
▎联想指纹加密 U 盘被曝存在严重安全漏洞：宣称 AES-256 加密，内部竟是一张普通 SD 卡
10 月 29 日，据网络安全媒体 HackingPassion 报道，安全研究人员 Xusheng Li 通过拆解发现，联想 ThinkPlus FU100 指纹 U 盘虽然宣称采用 AES-256 硬件加密技术，但实际存储数据的只是一张普通 SD 卡，文件以明文形式保存，完全没有经过加密。
研究发现，该产品的指纹识别功能仅用于控制 USB 设备的连接状态。攻击者只需拆开外壳，直接读取内部 SD 卡，即可绕过指纹验证，访问其中的文件。
更令人意外的是联想最初的修复方式。
研究人员早在 2025 年 8 月 2 日就向联想报告了这一问题。8 月 27 日，联想提供的临时解决方案是在 SD 卡表面覆盖一层环氧树脂，以增加物理拆卸和读取的难度。
2026 年 1 月，联想正式发布安全公告，相关漏洞被登记为 CVE-2025-13453，涉及 ThinkPlus FU100、FU200、TU800 和 TSD303 等第一代产品。
目前，联想已针对受影响设备提供免费升级或更换方案，用户可通过官方客服确认处理方式。
🔐 安全提醒： 指纹识别、密码验证与数据加密属于不同的安全机制。对于存储敏感文件的移动设备，应优先确认其是否真正采用可靠的加密技术，避免因设备丢失或被拆解导致数据泄露。
消息来源：HackingPassion、联想安全公告、CVE-2025-13453
频道 @AppDoDo 官推 APPDOTG
😱19👏5🍌3❤1😍1
#互联网观察 #网络安全
▎CISA 列入两项已遭利用漏洞：GitLab 满分 10.0 远程执行、思科防火墙可被远程打挂
10 月 29 日，美国网络安全与基础设施安全局（CISA）将两项漏洞列入已知遭利用漏洞目录（KEV），要求联邦机构在 11 月 1 日前完成修复。两项漏洞均已有实际利用证据，其中 GitLab 的漏洞严重程度评分达到满分 10.0。
GitLab 漏洞编号 CVE-2026-97229，影响其社区版与企业版。未登录的攻击者可以在 CI/CD 配置中构造特殊的正则表达式，在服务器上执行任意代码。受影响版本包括 19.2.8 之前的 19.2、19.3.5 之前的 19.3 与 19.4.2 之前的 19.4。开源发行版 Alpine Linux 披露，未知攻击者曾于 10 月 20 日至 21 日尝试利用该漏洞攻击其实例，未获成功。
需要留意的是，该漏洞位于 Ruby 语言的正则处理库中。GitLab 已于 10 月 12 日发布修复版本，但对使用自带 Ruby 运行的安装方式，仅升级 GitLab 并不能完全堵住漏洞，还需要把 Ruby 更新至 3.3.13、3.4.12 或 4.0.9。
思科漏洞编号 CVE-2026-76418，评分为 8.6，影响 Secure Firewall ASA 与 FTD 软件。未经授权的远程攻击者可以让设备意外重启，造成拒绝服务。思科表示，本月早些时候已确认该漏洞遭到实际利用，并于 10 月 28 日发布软件更新，官方称没有变通办法，更新是唯一的修复方式。
自托管 GitLab 的管理员应在周末前完成升级并核对 Ruby 版本，使用思科防火墙的网络管理员应优先安排更新，避免边界设备在攻击下反复重启。
频道 @AppDoDo 官推 APPDOTG
▎CISA 列入两项已遭利用漏洞：GitLab 满分 10.0 远程执行、思科防火墙可被远程打挂
10 月 29 日，美国网络安全与基础设施安全局（CISA）将两项漏洞列入已知遭利用漏洞目录（KEV），要求联邦机构在 11 月 1 日前完成修复。两项漏洞均已有实际利用证据，其中 GitLab 的漏洞严重程度评分达到满分 10.0。
GitLab 漏洞编号 CVE-2026-97229，影响其社区版与企业版。未登录的攻击者可以在 CI/CD 配置中构造特殊的正则表达式，在服务器上执行任意代码。受影响版本包括 19.2.8 之前的 19.2、19.3.5 之前的 19.3 与 19.4.2 之前的 19.4。开源发行版 Alpine Linux 披露，未知攻击者曾于 10 月 20 日至 21 日尝试利用该漏洞攻击其实例，未获成功。
需要留意的是，该漏洞位于 Ruby 语言的正则处理库中。GitLab 已于 10 月 12 日发布修复版本，但对使用自带 Ruby 运行的安装方式，仅升级 GitLab 并不能完全堵住漏洞，还需要把 Ruby 更新至 3.3.13、3.4.12 或 4.0.9。
思科漏洞编号 CVE-2026-76418，评分为 8.6，影响 Secure Firewall ASA 与 FTD 软件。未经授权的远程攻击者可以让设备意外重启，造成拒绝服务。思科表示，本月早些时候已确认该漏洞遭到实际利用，并于 10 月 28 日发布软件更新，官方称没有变通办法，更新是唯一的修复方式。
自托管 GitLab 的管理员应在周末前完成升级并核对 Ruby 版本，使用思科防火墙的网络管理员应优先安排更新，避免边界设备在攻击下反复重启。
频道 @AppDoDo 官推 APPDOTG
❤3
#互联网观察 #网络安全
▎Name com 域名遭劫持，12 个 DeFi 网站被挂钱包盗取工具，约 13.8 万美元被盗
10 月 30 日晚至 31 日，至少 12 个 DeFi 项目网站被劫持。用户访问熟悉的官网地址，打开的却是被植入钱包盗取工具 Step Drainer 的页面，一旦连接钱包并签署交易，资产就会被转走。
安全公司 Blockaid 首先识别出这批受害网站，包括 Pickle Finance、Origami Finance、FluxBeam、Flap 与 Kintsu 等。据 The Block 核查公开注册记录，12 个域名全部通过同一家注册商 Name.com 注册。项目方的智能合约本身未被攻破，攻击发生在域名与网站前端这一层。
The Block 根据链上数据追踪到约 13.8 万美元被盗资金流向 3 个钱包，该数字为以太坊等 EVM 链上的口径，Solana 与 Aptos 网络上的损失尚未统计。
Name.com 随后对其中 10 个域名暂停解析，并表示共有 15 个客户域名受影响、现已全部恢复，同时提醒客户检查 DNS 设置并开启双重验证。
使用 DeFi 网站时，不要仅凭网址与页面外观判断真伪，连接钱包前先看项目官方渠道的域名公告，签署交易前逐项核对内容。持有自有域名的用户与项目方，应为注册商账户开启双重验证，并开启域名转移锁定。
频道 @AppDoDo 官推 APPDOTG
▎Name com 域名遭劫持，12 个 DeFi 网站被挂钱包盗取工具，约 13.8 万美元被盗
10 月 30 日晚至 31 日，至少 12 个 DeFi 项目网站被劫持。用户访问熟悉的官网地址，打开的却是被植入钱包盗取工具 Step Drainer 的页面，一旦连接钱包并签署交易，资产就会被转走。
安全公司 Blockaid 首先识别出这批受害网站，包括 Pickle Finance、Origami Finance、FluxBeam、Flap 与 Kintsu 等。据 The Block 核查公开注册记录，12 个域名全部通过同一家注册商 Name.com 注册。项目方的智能合约本身未被攻破，攻击发生在域名与网站前端这一层。
The Block 根据链上数据追踪到约 13.8 万美元被盗资金流向 3 个钱包，该数字为以太坊等 EVM 链上的口径，Solana 与 Aptos 网络上的损失尚未统计。
Name.com 随后对其中 10 个域名暂停解析，并表示共有 15 个客户域名受影响、现已全部恢复，同时提醒客户检查 DNS 设置并开启双重验证。
使用 DeFi 网站时，不要仅凭网址与页面外观判断真伪，连接钱包前先看项目官方渠道的域名公告，签署交易前逐项核对内容。持有自有域名的用户与项目方，应为注册商账户开启双重验证，并开启域名转移锁定。
频道 @AppDoDo 官推 APPDOTG
👍6🎉2