I ricercatori avvertono che Atlassian Rovo potrebbe essere usato per esfiltrare dati da Jira e Confluence

I ricercatori di sicurezza hanno identificato due percorsi d’attacco che potrebbero indurre l’assistente AI Rovo di Atlassian a inviare a un server controllato dall’attaccante dati accessibili a un utente autenticato. I risultati sono stati segnalati indipendentemente da PromptArmor e Varonis Threat Labs, ma lo stato delle rispettive correzioni differisce.

Contenuti avvelenati e richieste in uscita

PromptArmor ha descritto una tecnica di prompt injection indiretta in cui istruzioni dannose vengono incorporate in un documento o in altri contenuti elaborati da Rovo. Nella dimostrazione, un utente ha caricato un file manipolato e ha chiesto a Rovo di organizzare i ticket Jira. L’assistente ha quindi eseguito ricerche in Jira e Confluence, ha incorporato i risultati in un URL e ha richiesto tale URL, consentendo all’attaccante di recuperare le informazioni tramite i log del server.

Lo scenario richiede comunque che un utente fornisca il contenuto avvelenato e avvii una normale attività di Rovo. Tuttavia, PromptArmor ha affermato che il trasferimento dei dati non richiedeva una richiesta di approvazione separata. L’azienda ha inoltre riferito che la disattivazione della funzione di ricerca web di Rovo non impediva il comportamento, poiché la richiesta in uscita pertinente utilizzava una diversa funzionalità di recupero. Questo aspetto non è stato riprodotto indipendentemente e lo stato del problema basato sui contenuti dopo la pubblicazione di PromptArmor del 5 agosto 2026 non è chiaro.

L’attacco tramite link RovoBlast è stato risolto

Varonis ha segnalato un problema distinto, denominato RovoBlast, che coinvolgeva il parametro URL rovoChatPrompt. Un attaccante poteva inserire istruzioni in un link appositamente creato. Quando un utente autenticato faceva clic sul link, Rovo Chat elaborava il prompt con le autorizzazioni dell’utente e inviava i risultati selezionati a un URL immagine controllato dall’attaccante.

Secondo quanto riferito, la prova di concetto estraeva una chiave API privata di Confluence, mentre i test comprendevano anche informazioni accessibili tramite i connettori Jira, SharePoint e Outlook. Secondo la segnalazione pubblicata su Bugcrowd, Atlassian ha risolto il problema lato server l’8 luglio 2026 e Varonis ha convalidato la correzione. Il report ha ricevuto una ricompensa di 6.000 dollari ed è stato contrassegnato come risolto.

Le autorizzazioni restano centrali

Nessuno dei due report ha dimostrato un aggiramento delle autorizzazioni di Atlassian. Le informazioni esposte erano limitate ai dati a cui la vittima poteva già accedere, sebbene le tecniche creassero un percorso non previsto per consentire a tali dati di uscire dall’organizzazione. Nessuna delle due segnalazioni ha riportato prove di sfruttamento nel mondo reale e per nessuno dei due problemi è stata identificata una voce CVE o nell’elenco delle vulnerabilità note sfruttate.

Gli amministratori possono ridurre l’esposizione limitando l’accesso a Rovo per applicazione e gruppo di utenti, esaminando le autorizzazioni dei connettori e rafforzando i controlli di accesso sottostanti per Jira, Confluence e i servizi di terze parti. L’impostazione di ricerca web di Atlassian non dovrebbe essere considerata l’unico confine per impedire le richieste in uscita generate dall’agente.