что мешает мейнтейнеру библиотеки, которую использует полмира, засунуть в код деструктивные действия при выполнении на хосте с русским IP или локалью, сделать коммит и опубликовать новую версию, а другим мейнтенерам в своих библиотеках использовать эту новую версию?
Вы при обновлении используемой вашей системой библиотеки просматриваете весь её код и код всех транизитивных зависимостей каждый раз?Да, в большинстве своём, я просматриваю ченджлоги и часть изменений наиболее значимых компонентов при обновлении. Автоматически у меня происходят только обновления безопасности (здесь приходится доверять мейнтейнерам пакета/дистрибутива).
The CA SHOULD revoke a certificate within 24 hours and MUST revoke a Certificate within 5 days if one or more of the following occurs: [...]
10. Revocation is required by the CA’s Certificate Policy and/or Certification Practice Statement;