Des chercheurs avertissent qu’Atlassian Rovo pourrait être utilisé pour exfiltrer des données Jira et Confluence

Des chercheurs en sécurité ont identifié deux vecteurs d’attaque susceptibles d’amener l’assistant IA Rovo d’Atlassian à envoyer à un serveur contrôlé par un attaquant des données accessibles à un utilisateur connecté. Ces découvertes ont été signalées indépendamment par PromptArmor et Varonis Threat Labs, mais leur état de correction diffère.

Contenu piégé et requêtes sortantes

PromptArmor a décrit une technique d’injection indirecte de prompt dans laquelle des instructions malveillantes sont intégrées à un document ou à un autre contenu traité par Rovo. Lors de sa démonstration, un utilisateur a téléversé un fichier piégé et demandé à Rovo d’organiser des tickets Jira. L’assistant a ensuite effectué des recherches dans Jira et Confluence, intégré les résultats à une URL, puis demandé cette URL, permettant à l’attaquant de récupérer les informations dans les journaux du serveur.

Ce scénario nécessite toujours qu’un utilisateur fournisse le contenu piégé et lance une tâche Rovo normale. Toutefois, PromptArmor a indiqué que le transfert de données ne nécessitait pas de demande d’approbation distincte. L’entreprise a également signalé que la désactivation de la fonction de recherche Web de Rovo n’empêchait pas ce comportement, car la requête sortante concernée utilisait une autre fonctionnalité de récupération. Cet aspect n’a pas été reproduit indépendamment, et l’état du problème lié au contenu après la publication de PromptArmor, le 5 août 2026, reste incertain.

L’attaque par lien RovoBlast a été corrigée

Varonis a signalé un problème distinct, baptisé RovoBlast, impliquant le paramètre d’URL rovoChatPrompt. Un attaquant pouvait placer des instructions dans un lien spécialement conçu. Lorsqu’un utilisateur authentifié cliquait dessus, Rovo Chat traitait le prompt avec les autorisations de cet utilisateur et envoyait les résultats sélectionnés vers une URL d’image contrôlée par l’attaquant.

La preuve de concept aurait permis d’extraire une clé d’API Confluence privée, et les tests ont également porté sur des informations accessibles via les connecteurs Jira, SharePoint et Outlook. Selon la divulgation Bugcrowd, Atlassian a corrigé le problème côté serveur le 8 juillet 2026, et Varonis a validé la correction. Le rapport a reçu une récompense de 6 000 dollars et a été marqué comme résolu.

Les autorisations restent essentielles

Aucun des deux rapports n’a démontré de contournement de l’autorisation Atlassian. Les informations exposées se limitaient aux données auxquelles la victime pouvait déjà accéder, même si les techniques créaient un moyen non prévu pour que ces données quittent l’organisation. Aucun des deux signalements ne faisait état d’indices d’une exploitation réelle, et aucun CVE ni aucune inscription dans le catalogue Known Exploited Vulnerabilities n’a été identifié pour l’un ou l’autre problème.

Les administrateurs peuvent réduire l’exposition en limitant l’accès à Rovo par application et par groupe d’utilisateurs, en examinant les autorisations des connecteurs et en renforçant les contrôles d’accès sous-jacents à Jira, Confluence et aux services tiers. Le paramètre de recherche Web d’Atlassian ne doit pas être considéré comme l’unique barrière pour empêcher les requêtes sortantes générées par l’agent.