Senado de la Republica
Rama Legislativa · Cámara legislativa
Riesgo crítico. Se detectaron 5 vulnerabilidades catalogadas por CISA como activamente explotadas en ataques reales (CVE-2024-38475, CVE-2021-42013, CVE-2021-41773). No son riesgos teóricos: equivalen a fallas conocidas y publicadas que atacantes ya están usando contra otras organizaciones. Adicionalmente, 6 de los hallazgos detectados se replican en otras entidades del Estado — el patrón sugiere causa raíz compartida (proveedor común, template institucional o stack heredado). Acción inmediata: actualizar el stack tecnológico al menos a las versiones que parchean las CVE listadas en CISA KEV.
Hallazgos (12)
CISA KEV CVE-2024-38475: apache_http 2.2.22 en senado (explotación activa documentada)
CriticaLa versión detectada apache_http 2.2.22 corresponde a vendor='apache' product='http server' con 4 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2024-38475: Apache HTTP Server Improper Escaping of Output Vulnerability) está documentada como explotada activamente por atacantes en producción (catalog dateAdded=2025-05-01, dueDate gov US=2025-05-22).
El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.
CISA KEV CVE-2021-42013: apache_http 2.2.22 en senado (explotación activa documentada; en uso por ransomware activo)
CriticaLa versión detectada apache_http 2.2.22 corresponde a vendor='apache' product='http server' con 4 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2021-42013: Apache HTTP Server Path Traversal Vulnerability) está documentada como explotada activamente por atacantes en producción (catalog dateAdded=2021-11-03, dueDate gov US=2021-11-17; en uso por ransomware activo).
El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.
CISA KEV CVE-2021-41773: apache_http 2.2.22 en senado (explotación activa documentada; en uso por ransomware activo)
CriticaLa versión detectada apache_http 2.2.22 corresponde a vendor='apache' product='http server' con 4 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2021-41773: Apache HTTP Server Path Traversal Vulnerability) está documentada como explotada activamente por atacantes en producción (catalog dateAdded=2021-11-03, dueDate gov US=2021-11-17; en uso por ransomware activo).
El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.
CISA KEV CVE-2019-0211: apache_http 2.2.22 en senado (explotación activa documentada)
CriticaLa versión detectada apache_http 2.2.22 corresponde a vendor='apache' product='http server' con 4 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2019-0211: Apache HTTP Server Privilege Escalation Vulnerability) está documentada como explotada activamente por atacantes en producción (catalog dateAdded=2021-11-03, dueDate gov US=2022-05-03).
El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.
CISA KEV CVE-2014-0160: openssl 1.0.1 en senado (explotación activa documentada)
CriticaLa versión detectada openssl 1.0.1 corresponde a vendor='openssl' product='openssl' con 1 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2014-0160: OpenSSL Information Disclosure Vulnerability) está documentada como explotada activamente por atacantes en producción (catalog dateAdded=2022-05-04, dueDate gov US=2022-05-25).
El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.
Portal legislativo opera sin HTTPS sobre software sin soporte
CriticaEl portal de la Secretaria del Senado opera exclusivamente sobre HTTP sin cifrar, con Apache 2.2.22 y OpenSSL 1.0.1 (ambos EOL). WebDAV habilitado. 0/8 headers de seguridad.
Un atacante con acceso a la red podria interceptar sesiones y modificar el texto publicado de las leyes colombianas.
SPF ausente en secretariasenado.gov.co
AltaNo hay registro v=spf1 publicado.
Sin SPF, cualquier servidor del mundo puede enviar correo con remitente @secretariasenado.gov.co. Spoofing trivial contra ciudadanos y proveedores.
Hallazgo agrupado por similitud semántica (21 findings, 21 entidades)
AltaML clustering identificó 21 findings similares afectando 21 entidades distintas. Categoría dominante: datos_personales. Severidades: {'alta': 21}. Muestra: SPF ausente en secretariasenado.gov.co | SPF ausente en gov.co | SPF ausente en relatoria.colombiacompra.gov.co.
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
DNSSEC ausente en secretariasenado.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
DKIM no detectado en secretariasenado.gov.co (selectores comunes)
MediaProbados 12 selectores comunes (default, mail, google, mailgun, etc.) — ninguno responde con v=DKIM1.
Sin DKIM, los receptores no pueden verificar criptográficamente que un correo proviene del servidor autorizado. Combinado con DMARC permisivo, deja la puerta abierta a spoofing.
83 portales cargan scripts externos sin verificacion de integridad
Media83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.
Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.
Senado rastrea ciudadanos con servicios de rastreo
MediaEl portal de Senado de la Republica carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.
Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. El portal de la Secretaria del Senado es la fuente oficial de la legislacion colombiana. Modificacion del texto de las leyes socavaria la seguridad juridica de todo el pais. Poblacion afectada: 50 millones de colombianos (seguridad juridica).
Activos públicos (1)
secretariasenado.gov.co
portal principal
Server: Apache/2.2.22 (Unix) mod_ssl/2.2.22 OpenSSL/1.0.1 DAV/2
Sin HTTPS. Software EOL. Joomla CMS. WebDAV habilitado. IP publica visible.
Observado: 2026-04-03