Universidad Distrital Francisco Jose de Caldas
Organos Autonomos · Sector educacion · Universidad pública
Riesgo crítico. La entidad acumula 7 hallazgos críticos verificados. La superficie de ataque concurrente sugiere falta de auditoría reciente y configuraciones por defecto sin endurecer. Adicionalmente, 6 de los hallazgos detectados se replican en otras entidades del Estado — el patrón sugiere causa raíz compartida (proveedor común, template institucional o stack heredado). Acción inmediata: configurar el header Access-Control-Allow-Origin con una lista explícita y nunca combinar * con Allow-Credentials: true.
Hallazgos (17)
Hallazgo agrupado por similitud semántica (12 findings, 8 entidades)
CriticaML clustering identificó 12 findings similares afectando 8 entidades distintas. Categoría dominante: cors_permisivo. Severidades: {'critica': 12}. Muestra: CORS refleja Origin con Allow-Credentials en findeter.gov.co | CORS refleja Origin con Allow-Credentials en banrep.gov.co | CORS refleja Origin con Allow-Credentials en detourpanel.cundinamarca.gov.co.
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
CORS refleja Origin con Allow-Credentials en www.udistrital.edu.co
CriticaOrigin: 'https://evil-attacker.tld' reflejado y Allow-Credentials: true. Permite a sitio atacante leer respuestas autenticadas.
Reflejar el Origin solicitado con Allow-Credentials: true permite a un sitio malicioso hacer requests autenticados como el usuario de la víctima y leer la respuesta. Equivale a anular la same-origin policy.
CORS refleja Origin con Allow-Credentials en udistrital.edu.co
CriticaOrigin: 'https://evil-attacker.tld' reflejado y Allow-Credentials: true. Permite a sitio atacante leer respuestas autenticadas.
Reflejar el Origin solicitado con Allow-Credentials: true permite a un sitio malicioso hacer requests autenticados como el usuario de la víctima y leer la respuesta. Equivale a anular la same-origin policy.
Hallazgo agrupado por similitud semántica (196 findings, 196 entidades)
AltaML clustering identificó 196 findings similares afectando 196 entidades distintas. Categoría dominante: datos_personales. Severidades: {'alta': 196}. Muestra: DMARC en modo permisivo (quarantine en lugar de reject) | DMARC en modo quarantine (no reject) | DMARC en modo quarantine (no reject).
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
Hallazgo agrupado por similitud semántica (299 findings, 299 entidades)
AltaML clustering identificó 299 findings similares afectando 299 entidades distintas. Categoría dominante: configuracion_ssl. Severidades: {'alta': 299}. Muestra: Sin registros CAA | Sin registros CAA | Sin registros CAA.
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
Sin registros CAA
Altadig CAA udistrital.edu.co retorna vacio.
Cualquier autoridad certificadora publica puede emitir certificados a nombre del dominio sin restriccion. Combinado con monitoreo CT incompleto, certificados fraudulentos pueden pasar inadvertidos.
DMARC en modo quarantine (no reject)
Alta_dmarc.udistrital.edu.co publica politica permisiva.
Politica quarantine no rechaza correos no autenticados. Atacante puede suplantar @udistrital.edu.co contra ciudadanos del territorio.
DNSSEC ausente en udistrital.edu.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
robots.txt revela 3 ruta(s) sensibles en udistrital.edu.co
MediaDisallow/Allow incluye: /composer/Template/README.txt, /admin/, /index.php/admin/. robots.txt es publico — los crawlers respetan, los atacantes lo usan como mapa.
robots.txt no impide acceso, solo solicita ignorar a crawlers benignos. Listar paths internos/admin alli es un atajo para enumerar superficie sensible.
robots.txt revela 3 ruta(s) sensibles en www.udistrital.edu.co
MediaDisallow/Allow incluye: /composer/Template/README.txt, /admin/, /index.php/admin/. robots.txt es publico — los crawlers respetan, los atacantes lo usan como mapa.
robots.txt no impide acceso, solo solicita ignorar a crawlers benignos. Listar paths internos/admin alli es un atajo para enumerar superficie sensible.
Headers exponen versiones de stack en 4 hosts
MediaEjemplos: udistrital.edu.co: X-Powered-By=PHP/8.3.0; udistrital.edu.co: X-Generator=Drupal 10 (https://www.drupal.org); www.udistrital.edu.co: X-Powered-By=PHP/8.3.0.
Cada header de version acelera la explotacion de vulnerabilidades especificas. Buena practica: ocultar Server, X-Powered-By, X-Generator en respuestas externas.
Ruta /modules/README.txt listada en Disallow es accesible publicamente
MediaGET https://udistrital.edu.co/modules/README.txt retorna 200.
robots.txt expresa intencion de ocultar; un atacante usa esa lista como mapa. Ruta accesible significa que la 'proteccion' es solo cooperativa.
Ruta /sites/README.txt listada en Disallow es accesible publicamente
MediaGET https://udistrital.edu.co/sites/README.txt retorna 200.
robots.txt expresa intencion de ocultar; un atacante usa esa lista como mapa. Ruta accesible significa que la 'proteccion' es solo cooperativa.
Ruta /README.md listada en Disallow es accesible publicamente
MediaGET https://udistrital.edu.co/README.md retorna 200.
robots.txt expresa intencion de ocultar; un atacante usa esa lista como mapa. Ruta accesible significa que la 'proteccion' es solo cooperativa.
Ruta /themes/README.txt listada en Disallow es accesible publicamente
MediaGET https://udistrital.edu.co/themes/README.txt retorna 200.
robots.txt expresa intencion de ocultar; un atacante usa esa lista como mapa. Ruta accesible significa que la 'proteccion' es solo cooperativa.
Drupal CHANGELOG.txt accesible en www.udistrital.edu.co
MediaGET https://www.udistrital.edu.co/core/CHANGELOG.txt entrega historial de versiones Drupal.
El CHANGELOG revela versión exacta de Drupal y patches aplicados — facilita matching con CVEs publicadas. Recomendación: bloquear o eliminar de raíz web.
Sin canal estandar de divulgacion responsable
MediaNinguno de los 7 subdominios alcanzables publica /.well-known/security.txt (RFC 9116).
Un investigador que descubra una vulnerabilidad no tiene canal estandarizado para reportar antes de publicar. Crisis va a prensa antes que a la entidad.
Activos públicos (7)
fenix.udistrital.edu.co
subdominio
HTTPS error: <urlopen error timed out>. FQDN publicado en DNS publico (IP 200.69.103.49).
Observado: 2026-05-02
webmail.udistrital.edu.co
HTTPS error: <urlopen error timed out>. FQDN publicado en DNS publico (IP 200.69.103.49).
Observado: 2026-05-02
udistrital.edu.co
portal principal
Server: Apache
Tech: Apache, Drupal. Title: Inicio | Universidad Distrital Francisco José de Caldas
Observado: 2026-05-02
www.udistrital.edu.co
portal principal
Server: Apache
Tech: Apache, Drupal. Title: Inicio | Universidad Distrital Francisco José de Caldas
Observado: 2026-05-02
planeacion.udistrital.edu.co
subdominio
HTTPS error: <urlopen error [SSL] record layer failure (_ssl.c:1016)>. FQDN publicado en DNS publico (IP 200.69.103.42).
Observado: 2026-05-02
autodiscover.udistrital.edu.co
HTTPS error: <urlopen error [Errno 61] Connection refused>. FQDN publicado en DNS publico (IP 40.97.188.232).
Observado: 2026-05-02
mail.udistrital.edu.co
HTTPS error: <urlopen error timed out>. FQDN publicado en DNS publico (IP 200.69.103.49).
Observado: 2026-05-02