追記 2

ふと、mk-ca-bundle.pl がダウンロードしてくる certdata.txt にはいくつか種類があったなと思いだし、-d nss を指定した際に参照されるファイル を見てみたところ、上記の無印のが、SERVER_AUTH TRASTED_DELEGATOR になってることを発見。
nss と release の違いがわからないが、比較すると十数箇所違いがあった。nss と release のどちらを使うべきなのか不明だが、とりあえず nss の方を使えばエラーは回避できた。
いったんは、これか。