LichtFeld-Studio 修复 eMudhra 伪造证书漏洞

2026 年 11 月 1 日，LichtFeld-Studio 0.5.4.2 版本发布——这是一次安全更新。原因：八个中间证书颁发机构 eMudhra 的私钥可以从证书本身恢复，从而可以伪造信任链。LichtFeld-Studio 及其 Python 环境所使用的 OpenSSL 不会对这些 CA 应用系统级的不信任，而内置的 uv 则通过其根证书信任了它们。详情见 GitHub 上的发布说明。

这意味着什么

LichtFeld-Studio 是一款开源 3D 生成器，采用 GPL-3.0 许可证，运行于 CUDA，用于训练、检查和导出 3D Gaussian Splatting 场景。在我们的指南中，它有独立的工具页面。 此次更新涉及该工具从网络获取数据的两个通道：自身下载和插件安装。现在两者都会根据八个已泄露 CA 的公钥校验证书链并拒绝它们——与 Go 和 Node 的做法相同。内置的 uv 已更新至 0.13.5 版本，该版本同样会拒绝它们。同时还更新了依赖项：OpenSSL 3.6.5、curl 8.23.0、FFmpeg 8.1.2、libarchive 3.8.9、libpng 1.6.59、libtiff 4.7.2、libjpeg-turbo 3.1.4.1、FreeType 2.14.3、expat 2.9.0 和 assimp 6.0.5。 在 LichtFeld-Studio 的参数表中，此前最新版本为 v0.5.3，现在最新版本为 0.5.4.2。对于安装插件或依赖该工具下载的用户来说，此次更新封堵了通过劫持连接进行服务器替换并执行任意代码的攻击途径。