Estado Seguropor Cristian Espinal Maya
Ver hallazgos
Postura crítica

Universidad Tecnologica de Pereira

Organos Autonomos · Sector educacion · Universidad pública

ResumenRiesgo CRÍTICO

UTP presenta riesgo crítico: tiene 9 hallazgos activos publicados, de los cuales 7 requieren atención prioritaria (5 críticos y 2 altos). Además, 3 hallazgos están pendientes de revisión antes de decidir si se publica o se descarta. La prioridad es confirmar producto y versión vulnerable; si se confirma, parchar o aislar la tecnología afectada. Los temas que más inciden son posible correspondencia con CISA KEV pendiente de confirmación, codigo fuente expuesto y tecnología vulnerable o fuera de soporte.

Siguiente paso: asignar responsable, fecha de corrección y evidencia de cierre; si un riesgo no se corrige, aceptarlo formalmente con dueño y fecha de revisión.

Descripción técnica

Se registran 9 hallazgos activos publicados: 5 críticos, 2 altos y 2 medios. Hay 3 hallazgos pendientes de revisión que todavía no deben tratarse como publicados.

Señales técnicas principales: CISA KEV CVE-2021-22175: gitlab con versión no determinada en univ-utp (posible correspondencia CISA KEV pendiente de versión): La tecnología reportada (gitlab con versión no determinada) requiere confirmar producto y versión antes de tratarlo como CISA KEV confirmado. Esta CVE específica (CVE-2021-22175: GitLab Server-Side Request Forgery... CISA KEV CVE-2024-4577: php con versión no determinada en univ-utp (explotación activa documentada; en uso por ransomware activo): La tecnología reportada (php con versión no determinada) requiere confirmar producto y versión antes de tratarlo como CISA KEV confirmado. Esta CVE específica (CVE-2024-4577: PHP-CGI OS Command Injection Vulnerability)... Repositorio .git accesible publicamente en utp.edu.co: GET https://utp.edu.co/.git/config retorna HTTP 200 con firma valida de configuración Git. No se publica contenido del archivo; la exposicion indica que metadatos del repositorio son accesibles publicamente.

Focos técnicos dominantes: posible CISA KEV pendiente de versión, codigo fuente expuesto y software fuera de soporte.

Publicados: 9Críticos: 5Altos: 2Medios: 2Sistémicos: 2CISA KEV: 2Pendientes: 3
Cobertura100
Postura de seguridad20
Divulgación responsable0
Consistencia operativa100

Hallazgos (9)

CISA KEV CVE-2024-4577: php . en univ-utp (explotación activa documentada; en uso por ransomware activo)

Critica

La versión detectada php . corresponde a vendor='php group' product='php' con 1 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2024-4577: PHP-CGI OS Command Injection Vulnerability) está documentada como explotada activamente por atacantes en producción (catalog dateAdded=2024-06-12, dueDate gov US=2024-07-03; en uso por ransomware activo).

El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

CISA KEV CVE-2021-22175: gitlab . en univ-utp (explotación activa documentada)

Critica

La versión detectada gitlab . corresponde a vendor='gitlab' product='gitlab' con 1 CVE en el catálogo CISA KEV. Esta CVE específica (CVE-2021-22175: GitLab Server-Side Request Forgery (SSRF) Vulnerability) está documentada como explotada activamente por atacantes en producción (catalog dateAdded=2026-02-18, dueDate gov US=2026-03-11).

El catálogo CISA Known Exploited Vulnerabilities lista solamente CVEs con evidencia confirmada de explotación en ataques reales. Esto no es un riesgo teórico: equivalente a saber que la cerradura específica de tu casa está publicada en un foro de criminales. La US Federal Government tiene fechas obligatorias de remediación (dueDate) — para entidades del Estado colombiano el estándar mínimo es el mismo. Si la CVE es de uso conocido en ransomware, el riesgo escala a interrupción operacional crítica.

Repositorio .git accesible publicamente en utp.edu.co

Critica

GET https://utp.edu.co/.git/config retorna HTTP 200 con firma valida de configuracion Git. No se publica contenido del archivo; la exposicion indica que metadatos del repositorio son accesibles publicamente.

Acceso al .git permite descarga del codigo fuente completo, historial de commits, credenciales eliminadas en versiones previas, archivos de configuracion. Es uno de los hallazgos mas graves: equivale a entregar el repositorio interno al publico.

Repositorio .git accesible publicamente en www.utp.edu.co

Critica

GET https://www.utp.edu.co/.git/config retorna HTTP 200 con contenido valido de Git ([core] repositoryformatversion = 0 filemode = true bare = false logallrefupd...). El directorio .git completo es descargable.

Acceso al .git permite descarga del codigo fuente completo, historial de commits, credenciales eliminadas en versiones previas, archivos de configuracion. Es uno de los hallazgos mas graves: equivale a entregar el repositorio interno al publico.

Repositorio Git público con remote identificable en univ-utp

Critica

GET /.git/config retorna config válida con remotes: git@gitlab.com:CRIE-UTP/portal-principal-php.git. git-dumper recovery del repo completo es trivial.

Un .git/config visible identifica el repositorio remoto (GitHub/GitLab privado de la entidad). Aún sin acceso al remoto, el atacante puede recuperar el TODO el árbol de archivos del .git público con git-dumper, obteniendo: código fuente completo, lógica de negocio, validaciones cliente, comentarios internos, credenciales históricas commiteadas.

DMARC en modo none (no reject)

Alta

_dmarc.utp.edu.co publica politica permisiva.

Politica none no rechaza correos no autenticados. Atacante puede suplantar @utp.edu.co contra ciudadanos del territorio.

UTP: Servidor con version obsoleta expuesta

Alta

UTP expone PHP/OpenSSL antiguos en el host PQRS publico.

Banners de software fuera de soporte indican superficie con parches pendientes o tecnologia heredada.

Headers exponen versiones de stack en 7 hosts

Media

Ejemplos: estadisticas.utp.edu.co: X-Powered-By=PHP/8.3.3; utp.edu.co: X-Powered-By=PHP/8.3.3; www.utp.edu.co: X-Powered-By=PHP/8.3.3.

Cada header de version acelera la explotacion de vulnerabilidades especificas. Buena practica: ocultar Server, X-Powered-By, X-Generator en respuestas externas.

Sin canal estandar de divulgacion responsable

Media

Ninguno de los 17 subdominios alcanzables publica /.well-known/security.txt (RFC 9116).

Un investigador que descubra una vulnerabilidad no tiene canal estandarizado para reportar antes de publicar. Crisis va a prensa antes que a la entidad.

Soluciones recomendadas

Qué necesita UTP

Acciones derivadas directamente de los hallazgos observados en esta entidad.

Inmediatas

Firewall y protección perimetral

  • Implementar o fortalecer un WAF (firewall de aplicaciones web).
  • Bloquear tráfico sospechoso.
  • Limitar acceso a rutas sensibles como /admin, /administrator, /api, /dev, /intranet.
  • Aplicar reglas contra inyección, scraping agresivo, fuerza bruta y escaneo automatizado.

Protección contra suplantación de correo

  • Configurar SPF, DKIM y DMARC.
  • Llevar DMARC progresivamente a política estricta: reject.
  • Monitorear reportes de suplantación.
  • Bloquear dominios similares usados para phishing.

Headers de seguridad

  • Activar Content-Security-Policy.
  • Activar X-Frame-Options o frame-ancestors.
  • Activar X-Content-Type-Options, Referrer-Policy y Permissions-Policy.
  • Eliminar headers que revelan tecnología, como X-Powered-By.

Mantenimiento técnico

Actualizar software obsoleto

  • Migrar PHP 5 y PHP 7.4 a versiones soportadas.
  • Actualizar Joomla, plugins, plantillas y extensiones.
  • Retirar librerías JavaScript vulnerables.
  • Establecer ventanas mensuales de parcheo.

Gestión de vulnerabilidades

  • Escanear periódicamente dominios y subdominios.
  • Clasificar hallazgos por severidad.
  • Asignar responsables y fechas de cierre.
  • Verificar que cada corrección haya sido aplicada.

Canal de divulgación responsable

  • Publicar security.txt (RFC 9116).
  • Definir un correo oficial para reportes de seguridad.
  • Crear un procedimiento interno para recibir, validar y corregir vulnerabilidades.

Gestión de datos personales

  • Revisar formularios, PQRS, trámites y APIs que procesan datos ciudadanos.
  • Minimizar los datos expuestos.
  • Cifrar datos sensibles en tránsito y en reposo.
  • Aplicar controles de acceso y trazabilidad.

Hardening institucional

  • Configuraciones seguras por defecto y plantillas web endurecidas.
  • Revisión de seguridad antes de publicar nuevos portales.
  • Separación clara entre producción, pruebas, desarrollo e intranet.

Cómo sostenerlo

  • Política de mínimos de seguridad web. Estándar obligatorio para todos los portales (HTTPS, HSTS, DMARC, headers, backups, logs, actualizaciones, monitoreo), exigible a proveedores.
  • Cláusulas de ciberseguridad en contratos. Obligar mínimos técnicos, SLA de corrección por severidad, evidencias de parcheo y derecho de auditoría.
  • Monitoreo continuo. No una revisión anual: alertar ante cada nuevo subdominio, certificado, API o tecnología vulnerable, y medir la postura por entidad y proveedor.
  • Modelo de remediación coordinada. Cuando un hallazgo se repite en muchas entidades, corregir la causa raíz (proveedor, plantilla o configuración común) para cerrar el riesgo en bloque.
  • Indicadores para la alta dirección. Tiempo promedio de corrección, hallazgos críticos abiertos, % de entidades con DMARC y HSTS, activos expuestos sin responsable, riesgo por proveedor.
  • EstadoSeguro no solo detecta vulnerabilidades; permite priorizar soluciones.
  • No reemplaza a su equipo de TI: le da visibilidad, evidencia y orden.
  • No es una auditoría anual: es monitoreo continuo de la superficie pública.
  • No busca señalar culpables: busca cerrar brechas antes de que se conviertan en incidentes.
  • Convierte el riesgo técnico en decisiones ejecutivas: qué corregir, quién responde y qué hacer primero.
Solicitar diagnóstico

Cronología de hallazgos

2026-04-30 → 2026-07-05

Nuevos

12

Activos

9

Pendientes

3

Solucionados

0

UTP: Servidor con version obsoleta expuesta

Apareció: 2026-06-28 · Revisado: 2026-06-28

Activo

Repositorio Git público con remote identificable en univ-utp

Apareció: 2026-05-03 · Revisado: 2026-05-17

Activo

CISA KEV CVE-2021-22175: gitlab . en univ-utp (explotación activa documentada)

Apareció: 2026-05-03 · Revisado: 2026-05-17

Activo

CISA KEV CVE-2024-4577: php . en univ-utp (explotación activa documentada; en uso por ransomware activo)

Apareció: 2026-05-03 · Revisado: 2026-05-17

Activo

Sin canal estandar de divulgacion responsable

Apareció: 2026-05-02 · Revisado: 2026-05-17

Activo

DMARC en modo none (no reject)

Apareció: 2026-05-02 · Revisado: 2026-05-17

Activo

Headers exponen versiones de stack en 7 hosts

Apareció: 2026-05-02 · Revisado: 2026-05-17

Activo

Repositorio .git accesible publicamente en utp.edu.co

Apareció: 2026-04-30 · Revisado: 2026-06-28

Activo

Repositorio .git accesible publicamente en www.utp.edu.co

Apareció: 2026-04-30 · Revisado: 2026-05-17

Activo

UTP: Portal sin HTTPS funcional

Apareció: 2026-07-05 · Revisado: 2026-07-05

En revisión

UTP: Endurecimiento web insuficiente

Apareció: 2026-07-03 · Revisado: 2026-07-05

En revisión

Headers de seguridad insuficientes (0/8)

Apareció: 2026-05-02 · Revisado: 2026-07-05

En revisión

Revisión de hallazgos pendientes

Revisado: 2026-07-05

Conservado en revisión

Hay 3 hallazgos pendientes con revisión conservadora: se mantienen fuera de publicación hasta cerrar evidencia suficiente. Esta decisión no los marca como solucionados ni como falsos positivos.

3 pendientes

candidate-univ-utp-configuracion_ssl-4d1def309b

requiere nuevo chequeo pasivo · Configuración SSL

AltaConservado en revisión

f-univ-utp-05

requiere nuevo chequeo pasivo · Headers de seguridad

MediaConservado en revisión

candidate-univ-utp-configuracion_headers-0ebf5632da

requiere nuevo chequeo pasivo · Headers de seguridad

MediaConservado en revisión

Activos públicos (17)

autodiscover.utp.edu.co

email

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

HTTPS error: <urlopen error [Errno 61] Connection refused>. FQDN publicado en DNS publico (IP 52.96.173.216).

Observado: 2026-05-02

estadisticas.utp.edu.co

subdominio

3/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Tech: Cloudflare. Title: Estadísticas e Indicadores Estratégicos - Estadísticas e Indicadores Estratégicos

Observado: 2026-05-02

pagos.utp.edu.co

subdominio

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Tech: Apache, Tomcat. Title: HTTP Status 404 – Not Found

Observado: 2026-05-02

utp.edu.co

portal principal

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Tech: Cloudflare. Title: UTP - Portal Principal

Observado: 2026-05-02

www.utp.edu.co

portal principal

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Tech: Cloudflare. Title: UTP - Portal Principal

Observado: 2026-05-02

movil.utp.edu.co

subdominio

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

HTTPS error: <urlopen error timed out>. FQDN publicado en DNS publico (IP 201.131.90.57).

Observado: 2026-05-02

pqrs.utp.edu.co

portal tramites

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Server: Apache/2.4.6 (Red Hat Enterprise Linux) OpenSSL/1.0.2k-fips PHP/7.0.33

Tech: Apache, Cloudflare, PHP 7.0 (EOL). Title: PQRS

Observado: 2026-05-02

fenix.utp.edu.co

subdominio

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

HTTPS error: <urlopen error timed out>. FQDN publicado en DNS publico (IP 201.131.90.15).

Observado: 2026-05-02

reportes.utp.edu.co

subdominio

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

HTTPS error: <urlopen error [SSL: SSLV3_ALERT_HANDSHAKE_FAILURE] ssl/tls alert handshake failure (_ssl.c:1016)>. FQDN publicado en DNS publico (IP 201.131.90.69).

Observado: 2026-05-02

www2.utp.edu.co

subdominio

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

HTTPS error: <urlopen error timed out>. FQDN publicado en DNS publico (IP 201.131.90.22).

Observado: 2026-05-02

educacion.utp.edu.co

subdominio

3/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Tech: no fingerprint. Title: Facultad de Ciencias de la Educación - Facultad de Ciencias de la Educación

Observado: 2026-05-02

salud.utp.edu.co

subdominio

3/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Tech: no fingerprint. Title: Facultad de Ciencias de la Salud - Facultad de Ciencias de la Salud

Observado: 2026-05-02

sp.utp.edu.co

subdominio

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Server: Apache/2.4.37 (centos) OpenSSL/1.1.1c mod_fcgid/2.3.9

Tech: Apache, PHP 7.2 (EOL), WordPress. Title: WordPress &rsaquo; Error

Observado: 2026-05-02

app.utp.edu.co

subdominio

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Tech: no fingerprint. Title: -

Observado: 2026-05-02

media.utp.edu.co

subdominio

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Tech: no fingerprint. Title: -

Observado: 2026-05-02

docs.utp.edu.co

subdominio

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Tech: no fingerprint. Title: -

Observado: 2026-05-02

mercurio.utp.edu.co

subdominio

0/8
HTTPS
Certificado
HSTS
CSP
X-Frame-Options
X-Content-Type
Referrer-Policy
security.txt

Tech: no fingerprint. Title: -

Observado: 2026-05-02