Ministerio de Vivienda, Ciudad y Territorio
Rama Ejecutiva · Sector vivienda · Ministerio
Riesgo alto. Hallazgos de severidad alta principalmente en configuración de seguridad básica (DMARC, CAA, headers). Mantener monitoreo y completar implementación de buenas prácticas básicas (security.txt, DMARC, headers).
Hallazgos (9)
Hallazgo agrupado por similitud semántica (5 findings, 3 entidades)
AltaML clustering identificó 5 findings similares afectando 3 entidades distintas. Categoría dominante: cors_permisivo. Severidades: {'alta': 5}. Muestra: CORS refleja Origin arbitrario en minvivienda.gov.co | CORS refleja Origin arbitrario en soporte.iiap.org.co | CORS refleja Origin arbitrario en cienaga-magdalena.gov.co.
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
CORS refleja Origin arbitrario en minvivienda.gov.co
AltaOrigin: 'https://evil-attacker.tld' reflejado.
Reflejar el Origin sin validar permite que cualquier sitio haga requests CORS. Sin Allow-Credentials el impacto es menor pero sigue siendo configuración débil.
Certificado wildcard cubre 1 dominios en minvivienda.gov.co
MediaWildcards en SAN: *.minvivienda.gov.co. Total SAN: 2.
Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.
DNSSEC ausente en minvivienda.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
CORS mal configurado en Ministerio de Vivienda, Ciudad y Territorio
MediaEl portal de Ministerio de Vivienda, Ciudad y Territorio acepta solicitudes CORS desde cualquier origen, permitiendo exfiltracion de datos desde navegadores de terceros.
CORS permisivo permite a sitios maliciosos realizar peticiones autenticadas a nombre del usuario. Gestiona subsidios de vivienda para poblacion vulnerable. Poblacion afectada: beneficiarios de subsidios de vivienda.
robots.txt revela 2 ruta(s) sensibles en minvivienda.gov.co
MediaDisallow/Allow incluye: /admin/, /index.php/admin/. robots.txt es publico — los crawlers respetan, los atacantes lo usan como mapa.
robots.txt no impide acceso, solo solicita ignorar a crawlers benignos. Listar paths internos/admin alli es un atajo para enumerar superficie sensible.
Drupal CHANGELOG.txt accesible en minvivienda.gov.co
MediaGET https://minvivienda.gov.co/core/CHANGELOG.txt entrega historial de versiones Drupal.
El CHANGELOG revela versión exacta de Drupal y patches aplicados — facilita matching con CVEs publicadas. Recomendación: bloquear o eliminar de raíz web.
83 portales cargan scripts externos sin verificacion de integridad
Media83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.
Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.
MinVivienda rastrea ciudadanos con servicios de rastreo
MediaEl portal de Ministerio de Vivienda, Ciudad y Territorio carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.
Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. Gestiona subsidios de vivienda para poblacion vulnerable. Poblacion afectada: beneficiarios de subsidios de vivienda.
Activos públicos (1)
minvivienda.gov.co
portal principal
Server: nginx
Observado: 2026-04-03