LichtFeld-Studio закрывает уязвимость с поддельными сертификатами eMudhra

1 ноября 2026 года вышел выпуск LichtFeld-Studio 0.5.4.2 — обновление безопасности. Причина: у восьми промежуточных центров сертификации eMudhra можно восстановить закрытые ключи из самих сертификатов, что позволяет подделывать цепочки доверия. OpenSSL, который использует LichtFeld-Studio и его Python-окружение, не применяет системное недоверие к этим CA, а встроенный uv доверял им через свои корневые сертификаты. Подробности — в описании выпуска на GitHub.

Что это значит

LichtFeld-Studio — генератор 3D-моделей с открытым кодом под лицензией GPL-3.0, который работает на CUDA и предназначен для тренировки, инспекции и экспорта сцен 3D Gaussian Splatting. В нашем справочнике у него есть отдельная карточка. Обновление затрагивает два канала, через которые инструмент получает данные из сети: собственные загрузки и установку плагинов. Теперь оба проверяют цепочки сертификатов по публичным ключам восьми скомпрометированных CA и отклоняют их — так же, как это делают Go и Node. Встроенный uv обновлён до версии 0.13.5, которая тоже их отвергает. Заодно подтянуты зависимости: OpenSSL 3.6.5, curl 8.23.0, FFmpeg 8.1.2, libarchive 3.8.9, libpng 1.6.59, libtiff 4.7.2, libjpeg-turbo 3.1.4.1, FreeType 2.14.3, expat 2.9.0 и assimp 6.0.5. В паспорте LichtFeld-Studio последним выпуском значился v0.5.3, теперь актуальна версия 0.5.4.2. Для пользователей, которые устанавливают плагины или полагаются на загрузки инструмента, это обновление закрывает вектор атаки с подменой сервера и выполнением произвольного кода через перехваченное соединение.