Ministerio de Ciencia, Tecnologia e Innovacion

Stack Drupal 7 (version <8 EOL ene-2025) detectado. CVE-2020-13671 afecta esta version y permite el comportamiento descrito sin parche post-EOL.

Permite subida de archivos con extensiones doble (ej. evil.phar.txt). Bypassea filtro y permite RCE si el server interpreta phar.

Wildcards en SAN: *.minciencias.gov.co. Total SAN: 2.

Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.

No hay registro DS en zona padre.

Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.

NS records: ns-cloud-e2.googledomains.com, ns-cloud-e4.googledomains.com, ns-cloud-e3.googledomains.com, ns-cloud-e1.googledomains.com

Toda la zona DNS está bajo proveedores extranjeros — los logs de queries DNS, claves DNSSEC y eventual modificación quedan bajo jurisdicción foránea. Para el Estado, esto debería evaluarse contra Ley 1581/2012.

El portal de Ministerio de Ciencia, Tecnologia e Innovacion acepta solicitudes CORS desde cualquier origen, permitiendo exfiltracion de datos desde navegadores de terceros.

CORS permisivo permite a sitios maliciosos realizar peticiones autenticadas a nombre del usuario. Gestiona convocatorias y datos de investigadores y grupos de investigacion. Poblacion afectada: comunidad cientifica colombiana.

El portal de Ministerio de Ciencia, Tecnologia e Innovacion carga la biblioteca biblioteca JS que tiene 0 vulnerabilidades conocidas (CVEs).

Bibliotecas JavaScript vulnerables pueden ser explotadas para ataques XSS y robo de sesiones. Gestiona convocatorias y datos de investigadores y grupos de investigacion. Poblacion afectada: comunidad cientifica colombiana.

Disallow/Allow incluye: /admin/. robots.txt es publico — los crawlers respetan, los atacantes lo usan como mapa.

robots.txt no impide acceso, solo solicita ignorar a crawlers benignos. Listar paths internos/admin alli es un atajo para enumerar superficie sensible.

GET https://minciencias.gov.co/CHANGELOG.txt entrega historial de versiones Drupal.

El CHANGELOG revela versión exacta de Drupal y patches aplicados — facilita matching con CVEs publicadas. Recomendación: bloquear o eliminar de raíz web.

83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.

Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.

El portal de Ministerio de Ciencia, Tecnologia e Innovacion carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.

Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. Gestiona convocatorias y datos de investigadores y grupos de investigacion. Poblacion afectada: comunidad cientifica colombiana.

Server: nginx

Observado: 2026-04-03