Alcaldia de Itagui
Rama Ejecutiva · Sector territorial · Alcaldía municipal
Riesgo crítico. Se detectaron 1 vulnerabilidades catalogadas por CISA como activamente explotadas en ataques reales (CVE-2021-22175). No son riesgos teóricos: equivalen a fallas conocidas y publicadas que atacantes ya están usando contra otras organizaciones. Adicionalmente, 4 de los hallazgos detectados se replican en otras entidades del Estado — el patrón sugiere causa raíz compartida (proveedor común, template institucional o stack heredado). Acción inmediata: actualizar el stack tecnológico al menos a las versiones que parchean las CVE listadas en CISA KEV.
Hallazgos (19)
CISA KEV CVE-2021-22175: gitlab . en alc-itagui (explotación activa documentada)
CriticaLa versión detectada gitlab . corresponde a vendor='gitlab' product='gitlab' con 1 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2021-22175: GitLab Server-Side Request Forgery (SSRF) Vulnerability) está documentada como explotada activamente por atacantes en producción (catalog dateAdded=2026-02-18, dueDate gov US=2026-03-11).
El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.
Servidor catch-all en 2 host(s) — observabilidad reducida
AltaEl portal en itagui.gov.co, www.itagui.gov.co retorna HTTP 200 con la misma página para múltiples rutas inexistentes (paths sensibles como /.env, /web.config.bak, /aws.json devuelven el mismo HTML que /). Comportamiento típico de SPAs/CMS sin handler 404 explícito.
Catch-all 200 (en vez de 404) impide a herramientas de auditoría externas distinguir entre rutas reales y rutas inexistentes. Crea ruido para defenders y oculta exposiciones reales bajo un mar de 'falsos 200'. Buena práctica: configurar handler 404 explícito que retorne código 4xx para rutas no mapeadas.
Subdominios sensibles nuevos descubiertos en wordlist extendida (1)
AltaHosts: gitlab.itagui.gov.co
Subdominios con prefijos de no-produccion o de paneles/herramientas internas alcanzables desde DNS publico. Cada uno expande la superficie y suele tener menor hardening que el portal principal.
VPN/Intranet alcanzable en DNS publico (2)
AltaHosts: vpn.itagui.gov.co, intranet.itagui.gov.co.
Aunque el servicio este restringido por IP, el FQDN publicado en DNS permite enumeracion trivial y ataques dirigidos al perimetro.
DMARC en modo quarantine (no reject)
Alta_dmarc.itagui.gov.co publica politica permisiva.
Politica quarantine no rechaza correos no autenticados. Atacante puede suplantar @itagui.gov.co contra ciudadanos del territorio.
Hallazgo agrupado por similitud semántica (196 findings, 196 entidades)
AltaML clustering identificó 196 findings similares afectando 196 entidades distintas. Categoría dominante: datos_personales. Severidades: {'alta': 196}. Muestra: DMARC en modo permisivo (quarantine en lugar de reject) | DMARC en modo quarantine (no reject) | DMARC en modo quarantine (no reject).
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
Hallazgo agrupado por similitud semántica (111 findings, 111 entidades)
AltaML clustering identificó 111 findings similares afectando 111 entidades distintas. Categoría dominante: api_expuesta. Severidades: {'alta': 111}. Muestra: VPN/Intranet alcanzable en DNS publico (1) | VPN/Intranet alcanzable en DNS publico (1) | VPN/Intranet alcanzable en DNS publico (1).
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
Hallazgo agrupado por similitud semántica (36 findings, 36 entidades)
AltaML clustering identificó 36 findings similares afectando 36 entidades distintas. Categoría dominante: api_expuesta. Severidades: {'alta': 36}. Muestra: Subdominios sensibles nuevos descubiertos en wordlist extendida (3) | Subdominios sensibles nuevos descubiertos en wordlist extendida (2) | Subdominios sensibles nuevos descubiertos en wordlist extendida (1).
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
Certificado wildcard cubre 1 dominios en itagui.gov.co
MediaWildcards en SAN: *.itagui.gov.co. Total SAN: 2.
Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.
DNSSEC ausente en itagui.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
DNS de itagui.gov.co totalmente fuera de Colombia
MediaNS records: sima.ns.cloudflare.com, rustam.ns.cloudflare.com
Toda la zona DNS está bajo proveedores extranjeros — los logs de queries DNS, claves DNSSEC y eventual modificación quedan bajo jurisdicción foránea. Para el Estado, esto debería evaluarse contra Ley 1581/2012.
Ruta /robots.txt listada en Disallow es accesible publicamente
MediaGET https://itagui.gov.co/robots.txt retorna 200.
robots.txt expresa intencion de ocultar; un atacante usa esa lista como mapa. Ruta accesible significa que la 'proteccion' es solo cooperativa.
Ruta /pdt-participacion/ listada en Disallow es accesible publicamente
MediaGET https://itagui.gov.co/pdt-participacion/ retorna 200.
robots.txt expresa intencion de ocultar; un atacante usa esa lista como mapa. Ruta accesible significa que la 'proteccion' es solo cooperativa.
Bucket GCS privado existe con nombre itagui
InfoGET https://storage.googleapis.com/itagui retorna 403 AccessDenied (bucket existe, no listable). Sugiere infraestructura cloud asociada a la entidad.
Bucket existe pero está cerrado al público. Útil como pista de inventario cloud — en un escenario de takeover (entidad deja de pagar AWS), un atacante podría reclamar el nombre. Recomendación: documentar y monitorear.
Bucket S3 privado existe con nombre alcaldia
InfoGET https://alcaldia.s3.amazonaws.com retorna 403 AccessDenied (bucket existe, no listable). Sugiere infraestructura cloud asociada a la entidad.
Bucket existe pero está cerrado al público. Útil como pista de inventario cloud — en un escenario de takeover (entidad deja de pagar AWS), un atacante podría reclamar el nombre. Recomendación: documentar y monitorear.
Bucket GCS privado existe con nombre alcaldia
InfoGET https://storage.googleapis.com/alcaldia retorna 403 AccessDenied (bucket existe, no listable). Sugiere infraestructura cloud asociada a la entidad.
Bucket existe pero está cerrado al público. Útil como pista de inventario cloud — en un escenario de takeover (entidad deja de pagar AWS), un atacante podría reclamar el nombre. Recomendación: documentar y monitorear.
Sin canal estandar de divulgacion responsable
MediaNinguno de los 15 subdominios alcanzables publica /.well-known/security.txt (RFC 9116).
Un investigador que descubra una vulnerabilidad no tiene canal estandarizado para reportar antes de publicar. Crisis va a prensa antes que a la entidad.
Headers exponen versiones de stack en 3 hosts
MediaEjemplos: api.itagui.gov.co: X-Powered-By=ASP.NET; sigi.itagui.gov.co: X-Powered-By=ASP.NET; intranet.itagui.gov.co: X-Powered-By=Next.js.
Cada header de version acelera la explotacion de vulnerabilidades especificas. Buena practica: ocultar Server, X-Powered-By, X-Generator en respuestas externas.
Cookies sin Secure o SameSite en 8 hosts
MediaHosts afectados: hacienda.itagui.gov.co, tesoreria.itagui.gov.co, api.itagui.gov.co, sigi.itagui.gov.co, itagui.gov.co.
Sin Secure las cookies viajan en HTTP plano si HSTS no aplica. Sin SameSite quedan expuestas a CSRF.
Activos públicos (15)
hacienda.itagui.gov.co
subdominio
Server: nginx/1.15.7
Tech: Nginx. Title: Hacienda
Observado: 2026-05-02
vpn.itagui.gov.co
vpn
HTTPS error: <urlopen error timed out>. FQDN publicado en DNS publico (IP 200.13.246.211).
Observado: 2026-05-02
tesoreria.itagui.gov.co
subdominio
Server: nginx/1.15.7
Tech: Nginx. Title: Cajas Tránsito
Observado: 2026-05-02
api.itagui.gov.co
api
Server: Microsoft-IIS/10.0
Tech: ASP.NET, IIS 10. Title: -
Observado: 2026-05-02
sigi.itagui.gov.co
subdominio
Server: Microsoft-IIS/10.0
Tech: ASP.NET, IIS 10. Title: IIS Windows Server
Observado: 2026-05-02
itagui.gov.co
portal principal
Server: Apache/2.4.62 (Debian)
Tech: Apache, Cloudflare. Title: Alcaldía de Itagüí
Observado: 2026-05-02
intranet.itagui.gov.co
intranet
Server: nginx/1.18.0 (Ubuntu)
Tech: Nginx. Title: -
Observado: 2026-05-02
www.itagui.gov.co
portal principal
Server: Apache/2.4.62 (Debian)
Tech: Apache, Cloudflare. Title: Alcaldía de Itagüí
Observado: 2026-05-02
gestion.itagui.gov.co
subdominio
Server: nginx/1.15.7
Tech: Nginx. Title: Gestión Itagüí
Observado: 2026-05-02
autodiscover.itagui.gov.co
HTTPS error: <urlopen error [Errno 61] Connection refused>. FQDN publicado en DNS publico (IP 52.96.165.248).
Observado: 2026-05-02
pqrs.itagui.gov.co
portal tramites
Tech: no fingerprint. Title: The URL you requested has been blocked
Observado: 2026-05-02
planeacion.itagui.gov.co
subdominio
Tech: no fingerprint. Title: Server Unavailable
Observado: 2026-05-02
transporte.itagui.gov.co
subdominio
HTTPS error: Remote end closed connection without response. FQDN publicado en DNS publico (IP 190.248.30.93).
Observado: 2026-05-02
predial.itagui.gov.co
subdominio
Tech: no fingerprint. Title: -
Observado: 2026-05-02
webmail.itagui.gov.co
Tech: no fingerprint. Title: -
Observado: 2026-05-02