Forscher warnen: Atlassian Rovo könnte zum Abfluss von Jira- und Confluence-Daten missbraucht werden

Sicherheitsforscher haben zwei Angriffspfade identifiziert, über die Atlassians KI-Assistent Rovo Daten, auf die ein angemeldeter Benutzer zugreifen kann, an einen von Angreifern kontrollierten Server senden könnte. Die Erkenntnisse wurden unabhängig voneinander von PromptArmor und den Varonis Threat Labs gemeldet, doch ihr Behebungsstatus unterscheidet sich.

Manipulierte Inhalte und ausgehende Anfragen

PromptArmor beschrieb eine indirekte Prompt-Injection-Technik, bei der schädliche Anweisungen in ein Dokument oder andere von Rovo verarbeitete Inhalte eingebettet werden. In der Demonstration lud ein Benutzer eine präparierte Datei hoch und bat Rovo, Jira-Tickets zu organisieren. Der Assistent durchsuchte daraufhin Jira und Confluence, integrierte die Ergebnisse in eine URL und rief diese URL auf, sodass der Angreifer die Informationen über die Serverprotokolle abrufen konnte.

Für dieses Szenario muss ein Benutzer weiterhin die manipulierten Inhalte bereitstellen und eine normale Rovo-Aufgabe starten. PromptArmor zufolge erforderte die Datenübertragung jedoch keine separate Bestätigungsabfrage. Das Unternehmen berichtete außerdem, dass die Deaktivierung der Websuchfunktion von Rovo das Verhalten nicht verhinderte, da die betreffende ausgehende Anfrage eine andere Abruf-Funktion verwendete. Dieser Aspekt wurde nicht unabhängig reproduziert, und der Status des inhaltsbasierten Problems nach der Veröffentlichung von PromptArmor am 5. August 2026 ist unklar.

RovoBlast-Link-Angriff wurde behoben

Varonis meldete ein separates Problem namens RovoBlast, das den URL-Parameter rovoChatPrompt betraf. Ein Angreifer konnte Anweisungen in einem speziell präparierten Link platzieren. Wenn ein authentifizierter Benutzer darauf klickte, verarbeitete Rovo Chat den Prompt mit den Berechtigungen dieses Benutzers und sendete ausgewählte Ergebnisse an eine von Angreifern kontrollierte Bild-URL.

Dem Bericht zufolge extrahierte der Proof of Concept einen privaten Confluence-API-Schlüssel. Die Tests umfassten außerdem Informationen, die über Jira-, SharePoint- und Outlook-Konnektoren verfügbar waren. Laut der Bugcrowd-Veröffentlichung behob Atlassian das Problem am 8. Juli 2026 serverseitig, und Varonis bestätigte die Korrektur. Der Bericht wurde mit einer Prämie von 6.000 US-Dollar honoriert und als behoben markiert.

Berechtigungen bleiben entscheidend

Keiner der beiden Berichte wies eine Umgehung der Atlassian-Autorisierung nach. Die offengelegten Informationen waren auf Daten beschränkt, auf die das Opfer bereits zugreifen konnte, auch wenn die Techniken einen unbeabsichtigten Weg schufen, diese Daten aus dem Unternehmen herauszuleiten. Keine der Meldungen enthielt Hinweise auf eine Ausnutzung in der Praxis, und für keines der beiden Probleme wurde ein CVE- oder KEV-Eintrag identifiziert.

Administratoren können das Risiko verringern, indem sie den Rovo-Zugriff nach Anwendung und Benutzergruppe beschränken, die Berechtigungen der Konnektoren überprüfen und die zugrunde liegenden Zugriffssteuerungen für Jira, Confluence und Drittanbieter verschärfen. Die Websucheinstellung von Atlassian sollte nicht als einzige Grenze zur Verhinderung von durch Agenten erzeugten ausgehenden Anfragen betrachtet werden.