Gob. Choco | estadoseguro.co

wp-content/debug.log público en turismo.choco.gov.co

Critica

GET https://turismo.choco.gov.co/wp-content/debug.log retorna log de errores PHP de WordPress.

El debug.log de WordPress contiene stack traces, paths absolutos del servidor, queries SQL y a veces credenciales. Acceso público es divulgación crítica.

Bucket GCS público choco asociable a gob-choco

Critica

GET https://storage.googleapis.com/choco?list-type=2 retorna ListBucketResult — bucket es listable públicamente. Body sample: <?xml version='1.0' encoding='UTF-8'?><ListBucketResult xmlns='http://doc.s3.amazonaws.com/2006-03-01'><Name>choco</Name><Prefix></Prefix><KeyCount>171</KeyCount><IsTruncated>false</IsTruncated><Conte

Un bucket cloud listable expone todos los objetos al público. Si la entidad lo creó para almacenamiento operacional, expone documentos, backups, archivos sensibles. Verificar ownership y bloquear acceso público inmediatamente.

Hallazgo sistémico en 83 entidades — Hallazgo sistémico

Critica

Mismo patrón crítico detectado en 83 entidades del Estado: alc-arauca, alc-armenia, alc-bucaramanga, alc-cali, alc-cartago, alc-cucuta, alc-galapa, alc-girardot.... La repetición sugiere causa raíz compartida: stack común, integrador común, o configuración por defecto sin endurecer.

Cuando la misma vulnerabilidad afecta a ≥5 entidades, la causa raíz suele ser un proveedor compartido o una configuración heredada de un template institucional. Resolver en una entidad sin coordinar con MinTIC/CCOC deja el problema activo en N-1 entidades. Recomendación: alerta a Computer Security Incident Response Team gubernamental y boletín a las entidades afectadas.

Hallazgo sistémico en 9 entidades — wp-content/debug.log público

Critica

Mismo patrón crítico detectado en 9 entidades del Estado: alc-bucaramanga, alc-cucuta, car-corpouraba, corte-suprema, gob-choco, icanh, univ-uniajc, univ-unicordoba.... La repetición sugiere causa raíz compartida: stack común, integrador común, o configuración por defecto sin endurecer.

Cuando la misma vulnerabilidad afecta a ≥5 entidades, la causa raíz suele ser un proveedor compartido o una configuración heredada de un template institucional. Resolver en una entidad sin coordinar con MinTIC/CCOC deja el problema activo en N-1 entidades. Recomendación: alerta a Computer Security Incident Response Team gubernamental y boletín a las entidades afectadas.

WordPress debug.log público con 42 errores fatales en gob-choco

Critica

GET /wp-content/debug.log: 42 fatal + 29 warnings. Paths internos del servidor leaked: 5 (/var/www/html/wp-content/plugins/elementor/includes/managers/image.php, /var/www/html/wp-settings.php, /var/www/html/wp-content/plugins/pro-elements/modules/theme-builder/classes/condition). DB credentials visibles en texto: 0.

Un debug.log con stack traces fatales contiene paths absolutos del filesystem, queries SQL en falla (a veces con valores), y credenciales de DB embebidas en mensajes de error de WordPress. Si DB credentials visibles > 0, hay compromiso de base de datos confirmado.

Bucket cloud público con 171+ objetos listables asociado a gob-choco

Critica

Bucket cloud retorna ListBucketResult/EnumerationResults con ≥171 objetos visibles en primeros 64 KB. Muestras: media/, media/5c1b1c38e7599.mp4, media/5c1b1df17b361.mp4, media/5c1b1f4e998e9.mp4, media/5c1b2036e99db.mp4.

Un bucket cloud listable con N objetos visibles entrega un mapa completo del almacenamiento. Cada objeto es potencialmente descargable. Si la entidad usa el bucket para backups, documentos sensibles o assets internos, hay exfiltración masiva trivial.

Hallazgo agrupado por similitud semántica (201 findings, 151 entidades)

Critica

ML clustering identificó 201 findings similares afectando 151 entidades distintas. Categoría dominante: configuracion_expuesta. Severidades: {'critica': 201}. Muestra: Bucket GCS público recursos-app asociable a adres | Bucket GCS público recursos-web asociable a adres | Bucket GCS público adr-test asociable a adr.

Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.

Hallazgo agrupado por similitud semántica (11 findings, 9 entidades)

Critica

ML clustering identificó 11 findings similares afectando 9 entidades distintas. Categoría dominante: divulgacion_informacion. Severidades: {'critica': 11}. Muestra: wp-content/debug.log público en cortesuprema.gov.co | wp-content/debug.log público en upme.gov.co | wp-content/debug.log público en icanh.gov.co.

Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.

Servidor catch-all en 2 host(s) — observabilidad reducida

Alta

El portal en choco.gov.co, www.choco.gov.co retorna HTTP 200 con la misma página para múltiples rutas inexistentes (paths sensibles como /.env, /web.config.bak, /aws.json devuelven el mismo HTML que /). Comportamiento típico de SPAs/CMS sin handler 404 explícito.

Catch-all 200 (en vez de 404) impide a herramientas de auditoría externas distinguir entre rutas reales y rutas inexistentes. Crea ruido para defenders y oculta exposiciones reales bajo un mar de 'falsos 200'. Buena práctica: configurar handler 404 explícito que retorne código 4xx para rutas no mapeadas.

Certificado TLS de choco.gov.co EXPIRADO hace 57 días

Alta

Cert venció el Mar 6 23:59:59 2026 GMT. Los navegadores muestran advertencia de seguridad bloqueante.

Cert expirado en producción indica falla de monitoreo de renovación. Usuarios reciben advertencia y abandonan; OAuth/SSO falla; integraciones automáticas se rompen.

Cluster de infraestructura: 15 entidades en prefijo 20.84.2.0/24

Alta

Entidades afectadas (primeras 10): alc-florencia, alc-leticia, alc-magangue, alc-soledad, alc-tunja, alc-yopal, dist-tumaco, gob-amazonas, gob-caqueta, gob-choco

Una vulnerabilidad en el proveedor del prefijo 20.84.2.0/24 afecta simultáneamente a 15 entidades. Concentración de riesgo: un solo evento de seguridad puede tumbar parte significativa del Estado en línea.

IP compartida: 15 entidades en 20.84.2.197

Alta

Entidades en 20.84.2.197: alc-florencia, alc-leticia, alc-magangue, alc-soledad, alc-tunja, alc-yopal, dist-tumaco, gob-amazonas

Mismo IP físico = mismo servidor o mismo balanceador. Compromiso del host expone simultáneamente todas las entidades. Patrón típico de portales 'Gobierno en Línea' provistos por terceros.

WordPress REST expone listado de usuarios en turismo.choco.gov.co

Alta

GET https://turismo.choco.gov.co/wp-json/wp/v2/users retorna JSON con usuarios (id/name/slug). Sample: [{"id":1,"name":"admin","url":"http:\/\/34.44.36.83","description":"","link":"https:\/\/turismo.choco.gov.co\/blog\/author\/admin\/","slug":"admin","avatar_urls":{"24":"https:\/\/secure.gravatar.com\/

El endpoint /wp-json/wp/v2/users entrega usernames y a veces emails de la instalación WP. Permite enumerar nombres válidos para bruteforce dirigido y phishing personalizado.

Sin registros CAA

Alta

dig CAA choco.gov.co retorna vacio.

Cualquier autoridad certificadora publica puede emitir certificados a nombre del dominio sin restriccion. Combinado con monitoreo CT incompleto, certificados fraudulentos pueden pasar inadvertidos.

DMARC en modo none (no reject)

Alta

_dmarc.choco.gov.co publica politica permisiva.

Politica none no rechaza correos no autenticados. Atacante puede suplantar @choco.gov.co contra ciudadanos del territorio.

Datos del portal hospedados fuera de Colombia

Alta

Apex resuelve a 20.84.2.197 (rango caracteristico de proveedor extranjero — Cloudflare/AWS/Azure US).

Ley 1581/2012 art. 26 exige consentimiento o nivel de proteccion adecuado para transferencia internacional. EE.UU. no esta en la lista de paises adecuados de la SIC sin clausulas contractuales tipo.

Hallazgo agrupado por similitud semántica (299 findings, 299 entidades)

Alta

ML clustering identificó 299 findings similares afectando 299 entidades distintas. Categoría dominante: configuracion_ssl. Severidades: {'alta': 299}. Muestra: Sin registros CAA | Sin registros CAA | Sin registros CAA.

Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.

Hallazgo agrupado por similitud semántica (196 findings, 196 entidades)

Alta

ML clustering identificó 196 findings similares afectando 196 entidades distintas. Categoría dominante: datos_personales. Severidades: {'alta': 196}. Muestra: DMARC en modo permisivo (quarantine en lugar de reject) | DMARC en modo quarantine (no reject) | DMARC en modo quarantine (no reject).

Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.

Hallazgo agrupado por similitud semántica (69 findings, 41 entidades)

Alta

ML clustering identificó 69 findings similares afectando 41 entidades distintas. Categoría dominante: divulgacion_informacion. Severidades: {'alta': 69}. Muestra: WordPress REST expone listado de usuarios en prosperidadsocial.gov.co | WordPress REST expone listado de usuarios en relatoria.colombiacompra.gov.co | WordPress REST expone listado de usuarios en esap.edu.co.

Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.

Hallazgo agrupado por similitud semántica (18 findings, 18 entidades)

Alta

ML clustering identificó 18 findings similares afectando 18 entidades distintas. Categoría dominante: configuracion_ssl. Severidades: {'alta': 18}. Muestra: Certificado TLS de camara.gov.co EXPIRADO hace 79 días | Certificado TLS de amazonas.gov.co EXPIRADO hace 57 días | Certificado TLS de caqueta.gov.co EXPIRADO hace 57 días.

Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.

Hallazgo agrupado por similitud semántica (11 findings, 11 entidades)

Alta

ML clustering identificó 11 findings similares afectando 11 entidades distintas. Categoría dominante: datos_personales. Severidades: {'alta': 11}. Muestra: Datos del portal hospedados fuera de Colombia | Datos del portal hospedados fuera de Colombia | Datos del portal hospedados fuera de Colombia.

Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.

robots.txt revela 2 ruta(s) sensibles en turismo.choco.gov.co

Media

Disallow/Allow incluye: /wp-admin/admin-ajax.php, /wp-admin/. robots.txt es publico — los crawlers respetan, los atacantes lo usan como mapa.

robots.txt no impide acceso, solo solicita ignorar a crawlers benignos. Listar paths internos/admin alli es un atajo para enumerar superficie sensible.

SAN list extenso en cert de choco.gov.co (98 dominios)

Media

El cert lista 98 dominios en SAN. Sample: concejo-dabeiba-antioquia.gov.co, aguasdecordoba.gov.co, amazonas.gov.co, caqueta.gov.co, choco.gov.co.

Un SAN extenso publica todos los servicios cubiertos por el cert. Útil para enumeración: un atacante obtiene el inventario de subservicios sin escanear DNS.

DNSSEC ausente en choco.gov.co

Media

No hay registro DS en zona padre.

Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.

Drupal CHANGELOG.txt accesible en www.choco.gov.co

Media

GET https://www.choco.gov.co/CHANGELOG.txt entrega historial de versiones Drupal.

El CHANGELOG revela versión exacta de Drupal y patches aplicados — facilita matching con CVEs publicadas. Recomendación: bloquear o eliminar de raíz web.

Drupal CHANGELOG.txt accesible en www.choco.gov.co

Media

GET https://www.choco.gov.co/core/CHANGELOG.txt entrega historial de versiones Drupal.

El CHANGELOG revela versión exacta de Drupal y patches aplicados — facilita matching con CVEs publicadas. Recomendación: bloquear o eliminar de raíz web.

Drupal CHANGELOG.txt accesible en choco.gov.co

Media

GET https://choco.gov.co/CHANGELOG.txt entrega historial de versiones Drupal.

El CHANGELOG revela versión exacta de Drupal y patches aplicados — facilita matching con CVEs publicadas. Recomendación: bloquear o eliminar de raíz web.

Drupal CHANGELOG.txt accesible en choco.gov.co

Media

GET https://choco.gov.co/core/CHANGELOG.txt entrega historial de versiones Drupal.

El CHANGELOG revela versión exacta de Drupal y patches aplicados — facilita matching con CVEs publicadas. Recomendación: bloquear o eliminar de raíz web.

Bucket GCS privado existe con nombre gobernacion

Info

GET https://storage.googleapis.com/gobernacion retorna 403 AccessDenied (bucket existe, no listable). Sugiere infraestructura cloud asociada a la entidad.