It was discovered that multitouch devices were not being disabled by the 'xtrlock' screen locking utility.

xtrlock did not block multitouch events so an attacker could still input and thus control various programs such as Chromium, etc. via so-called 'multitouch' events including pan scrolling, 'pinch and zoom' or even being able to provide regular mouse clicks by depressing the touchpad once and then clicking with a secondary finger.

For Debian 8 'Jessie', this issue has been fixed in xtrlock version 2.6+deb8u1. However, this fix does not the situation where an attacker plugs in a multitouch device *after* the screen has been locked. For more information on this, please see :

https://bugs.debian.org/830726#115

We recommend that you upgrade your xtrlock packages pending a deeper fix.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

マルチタッチデバイスが、画面ロックユーティリティ「xtrlock」を使用しても無効にならないことが判明しました。

xtrlockはマルチタッチイベントをブロックしていませんでした。そのため攻撃者が、タッチパッドを1回押してから中指でクリックなど、パンスクロール、「ピンチとズーム」、さらには通常のマウスクリックの提供など、いわゆる「マルチタッチ」イベントを介して、Chromiumなどのさまざまなプログラムを入力したり制御したりする可能性があります。

Debian 8「Jessie」では、この問題はxtrlockバージョン2.6+deb8u1で修正されました。ただし、この修正は、画面がロックされた後に*攻撃者がマルチタッチデバイスを接続する状況を修正しません。詳細については、次を参照してください:

https://bugs.debian.org/830726#115

xtrlockパッケージは、さらに深い修正が出るまで、アップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

據發現，「xtrlock」畫面鎖定公用程式並未停用多點觸控裝置。

xtrlock 並未封鎖多點觸控事件，因此攻擊者仍可透過所謂的「多點觸控」事件執行輸入，進而控制 Chromium 等各種程式， 事件包括平移捲動、「縮小和放大」，甚至是透過按一下觸控板再用另一根手指按一下滑鼠，來實現常規的滑鼠點擊操作。

針對 Debian 8「Jessie」，已在 xtrlock 的 2.6+deb8u1 版本中修正此問題。不過，此修正並不適用於攻擊者在螢幕鎖定之後*之後*插入多點觸控裝置的情況。如需更多資訊，請參閱：

https://bugs.debian.org/830726#115

建議您升級需要進一步修正的 xtrlock 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 到 2.10 版的 xtrlock 未封鎖 multitouch 事件。因此處於鎖定畫面的攻擊者可傳送輸入至 (並因此控制) 多種程式 (例如 Chromium) 透過事件例如水平捲動、雙指合指合開合和縮放手勢甚至是一般的滑鼠點擊 (按下一次觸控板然後用不同的 finger)。 (CVE-2016-10894)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

发现“xtrlock”屏幕锁定实用工具未禁用多点触控设备。

xtrlock 未拦截多点触控事件，攻击者仍可通过所谓的“多点触控”事件（包括平移滚动、“缩紧和缩放”）输入并控制 Chromium 等各种程序，甚至可以通过按一下触摸板后用食指点击来执行常规的鼠标点击操作。

对于 Debian 8“Jessie”，此问题已在 xtrlock 版本 2.6+deb8u1 中修复。但是，此修复不适用于攻击者在屏幕锁定*之后*插入多点触控设备的情况。有关更多信息，请参见：

https://bugs.debian.org/830726#115

我们建议您升级 xtrlock 程序包，以待更深入地修复。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Debian reports :

xtrlock did not block multitouch events so an attacker could still input and thus control various programs such as Chromium, etc. via so-called 'multitouch' events including pan scrolling, 'pinch and zoom' or even being able to provide regular mouse clicks by depressing the touchpad once and then clicking with a secondary finger.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - xtrlock through 2.10 does not block multitouch events. Consequently, an attacker at a locked screen can     send input to (and thus control) various programs such as Chromium via events such as pan scrolling,     pinch and zoom gestures, or even regular mouse clicks (by depressing the touchpad once and then clicking     with a different finger). (CVE-2016-10894)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - xtrlock 到 2.10 的版本未阻断多点触控事件。因此攻击者在锁定屏幕时可通过平移滚动、开合和缩放手势等事件甚至常规鼠标单击通过按一次触摸板然后用触摸板单击不同的指纹。 (CVE-2016-10894)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Debianによる報告：

xtrlockはマルチタッチイベントをブロックしていませんでした。そのため攻撃者が、タッチパッドを1回押してから中指でクリックなど、パンスクロール、「ピンチとズーム」、さらには通常のマウスクリックの提供など、いわゆる「マルチタッチ」イベントを介して、Chromiumなどのさまざまなプログラムを入力したり制御したりする可能性があります。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.10 から までの xtrlock は、マルチタッチイベントをブロックしません。その結果、ロックされた画面で攻撃者は、パンのスクロール、パッチやズームのジェスチャー、または通常のマウスクリックタッチパッドを一度押してからクリックすることによって、Chromium などのさまざまなプログラムに入力を送信およびコントロールすることができます。これにより、異なる finger) を呼び出します。CVE-2016-10894

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	Name	Product	Family	Published	Updated	Severity
129855	Debian DLA-1959-1 : xtrlock security update	Nessus	Debian Local Security Checks	10/15/2019	4/18/2024	medium
129855	Debian DLA-1959-1 : xtrlockセキュリティ更新プログラム	Nessus	Debian Local Security Checks	10/15/2019	4/18/2024	medium
129855	Debian DLA-1959-1：xtrlock 安全性更新	Nessus	Debian Local Security Checks	10/15/2019	4/18/2024	medium
253963	Linux Distros 未修補的弱點：CVE-2016-10894	Nessus	Misc.	8/24/2025	8/24/2025	medium
129855	Debian DLA-1959-1：xtrlock 安全更新	Nessus	Debian Local Security Checks	10/15/2019	4/18/2024	medium
152491	FreeBSD : xtrlock -- xtrlock does not block multitouch events (e80073d7-f8ba-11eb-b141-589cfc007716)	Nessus	FreeBSD Local Security Checks	8/11/2021	12/4/2023	medium
253963	Linux Distros Unpatched Vulnerability : CVE-2016-10894	Nessus	Misc.	8/24/2025	8/24/2025	medium
253963	Linux Distros 未修补的漏洞：CVE-2016-10894	Nessus	Misc.	8/24/2025	8/24/2025	medium
152491	FreeBSD：xtrlock -- xtrlockはマルチタッチイベントをブロックしません（e80073d7-f8ba-11eb-b141-589cfc007716）	Nessus	FreeBSD Local Security Checks	8/11/2021	12/4/2023	medium
253963	Linux Distros のパッチ未適用の脆弱性: CVE-2016-10894	Nessus	Misc.	8/24/2025	8/24/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium