Investigadores advierten que Atlassian Rovo podría utilizarse para exfiltrar datos de Jira y Confluence

Investigadores de seguridad han identificado dos vías de ataque que podrían hacer que el asistente de IA Rovo de Atlassian enviara a un servidor controlado por un atacante datos accesibles para un usuario que hubiera iniciado sesión. Los hallazgos fueron comunicados de forma independiente por PromptArmor y Varonis Threat Labs, pero el estado de corrección difiere entre ambos casos.

Contenido manipulado y solicitudes salientes

PromptArmor describió una técnica de inyección indirecta de instrucciones en la que se incrustan instrucciones maliciosas en un documento u otro contenido que Rovo procesa. En su demostración, un usuario cargó un archivo manipulado y pidió a Rovo que organizara tickets de Jira. A continuación, el asistente buscó en Jira y Confluence, incorporó los resultados a una URL y solicitó esa URL, lo que permitió al atacante recuperar la información mediante los registros del servidor.

El escenario aún requiere que un usuario proporcione el contenido manipulado e inicie una tarea normal en Rovo. Sin embargo, PromptArmor afirmó que la transferencia de datos no requería una solicitud de aprobación independiente. La empresa también informó de que desactivar la función de búsqueda web de Rovo no impedía el comportamiento, ya que la solicitud saliente relevante utilizaba una capacidad de recuperación diferente. Este aspecto no se ha reproducido de forma independiente, y el estado del problema basado en el contenido tras la publicación de PromptArmor del 5 de agosto de 2026 no está claro.

El ataque mediante enlaces RovoBlast fue corregido

Varonis informó de un problema independiente, denominado RovoBlast, relacionado con el parámetro de URL rovoChatPrompt. Un atacante podía introducir instrucciones en un enlace especialmente diseñado. Cuando un usuario autenticado hacía clic en él, Rovo Chat procesaba la instrucción con los permisos de ese usuario y enviaba resultados seleccionados a una URL de imagen controlada por el atacante.

Según se informó, la prueba de concepto extrajo una clave privada de la API de Confluence, y las pruebas también abarcaron información disponible mediante conectores de Jira, SharePoint y Outlook. Atlassian corrigió el problema en el servidor el 8 de julio de 2026, según la divulgación de Bugcrowd, y Varonis validó la corrección. El informe recibió una recompensa de 6.000 dólares y se marcó como resuelto.

Los permisos siguen siendo fundamentales

Ninguno de los dos informes demostró una elusión de la autorización de Atlassian. La información expuesta se limitaba a datos a los que la víctima ya podía acceder, aunque las técnicas creaban una vía no prevista para que esos datos salieran de la organización. Ninguna de las divulgaciones informó de indicios de explotación en el mundo real, y no se identificó ningún CVE ni ninguna entrada en la lista de vulnerabilidades conocidas y explotadas para ninguno de los dos problemas.

Los administradores pueden reducir la exposición limitando el acceso a Rovo por aplicación y grupo de usuarios, revisando los permisos de los conectores y reforzando los controles de acceso subyacentes de Jira, Confluence y servicios de terceros. La configuración de búsqueda web de Atlassian no debe considerarse el único límite para impedir las solicitudes salientes generadas por agentes.