リリースノート
文字を含むパスのエンコードが修正されました。
これまでは、「/tmp/foo+bar」のようなファイルパスが正しくURLエンコードされていませんでした(「+」が「’」になっていました)。
このようなパスはコーナーケースと考えられますが、過去には問題がありました。
knime.ini に新しいオプションが追加されました: -Dknime.xml.disable_external_entities=true.
これは、保存されたワークフローに含まれるようなXMLファイルのxml文字列を解析する際に、すべてのDOCTYPE宣言を無視することで、強力なセキュリティを実現します。
また、破損したワークフローを読むときなどに、XML外部エンティティ(xxe)攻撃を防ぐことができます。
この潜在的なセキュリティリスクを報告してくれたNATO(Dawid Czarnecki)に感謝します。