CORS применяется браузером, а не сервером. Так что браузер должен решать, заблокирован ли ресурс или к нему есть доступ. В случае chrome видеофрагменты загружаются через XHR и, следовательно, обрабатываются стеком HTTP браузера. В случае Safari, который изначально поддерживает HLS, сегменты загружаются медиаплеером напрямую, минуя браузер и, следовательно, CORS.
Это поведение не может быть воспроизведено в Chrome.