Atlassian Rovo konnte Jira- und Confluence-Daten an Angreifer übermitteln

Im Kern geht es in beiden Fällen um denselben Effekt: Rovo führt Anweisungen mit den Rechten des angemeldeten Nutzers aus und übermittelt die Ergebnisse an eine von Angreifern kontrollierte Adresse. Der Datenzugriff von Rovo folgt laut Atlassian den in den Produkten und verbundenen Drittanbieter-Apps gesetzten Berechtigungen. Gezeigt wurde also kein allgemeiner Autorisierungsfehler über eine gesamte Instanz hinweg, sondern ein Weg, erlaubte Daten ohne bewusste Entscheidung des Nutzers nach außen zu bringen.

Varonis Threat Labs legte die Anweisungen in einen Link. Nach Darstellung der Forscher konnte der URL-Parameter „rovoChatPrompt“ einen vollständigen Prompt in eine Rovo-URL einbetten. Ein einziger Klick eines authentifizierten Nutzers reichte demnach aus, damit Rovo diese Anweisungen mit dessen Rechten ausführt und die Ergebnisse an einen Server unter Kontrolle des Angreifers sendet. Varonis nennt die Schwachstelle „RovoBlast“ und meldete sie laut eigener Aussage über Bugcrowd.

Der Bugcrowd-Eintrag ist der belastbarere der beiden Nachweise. Er zeigt, dass Atlassian die Schwachstelle serverseitig am 8. Juli 2026 behoben hat und der Reporter den Fix validierte. Die Meldung ist als gelöst markiert, auf der Prioritätsskala als P2 eingestuft und mit 6.000 US-Dollar prämiert. Demonstriert wurde laut Bericht der Abfluss eines privaten API-Schlüssels aus Confluence; Bugcrowd schreibt zudem, dass dieselbe Ein-Klick-Technik auch gegen Jira sowie über SharePoint- und Outlook-Konnektoren erreichbare Daten getestet wurde.

PromptArmor wählte einen anderen Angriffsweg: eine indirekte Prompt-Injection. Dabei werden Angreifer-Anweisungen in Inhalte eingebettet, die der Assistent verwenden soll, und das Modell behandelt einen Teil dieses Texts als Instruktionen. In dem von PromptArmor veröffentlichten Beispiel lädt ein Nutzer ein Dokument mit versteckter Injection hoch und bittet Rovo anschließend, Jira-Tickets zu organisieren. Rovo durchsucht daraufhin wie verlangt Jira und Confluence, hängt die gefundenen Inhalte an eine URL des Angreifers an und ruft diese auf. Der Angreifer kann die Ticket- und Seiteninhalte dann in den eigenen Server-Logs auslesen.

PromptArmor betont, dass für den eigentlichen Exfiltrationsschritt keine separate menschliche Freigabe erforderlich sei. Als „Null-Klick“-Angriff lässt sich die Interaktion laut Quelltext aber nicht sauber beschreiben: Das Opfer muss Rovo zunächst den manipulierten Inhalt aussetzen und anschließend eine normale Anfrage stellen. Nach Angaben von PromptArmor sieht ein Nutzer bei einer späteren Rückkehr in den Chat nur die vorgeschlagenen Ticket-Aktualisierungen, nicht aber den Datenabfluss.

Besonders relevant ist der Befund von PromptArmor zur Websuche. Atlassian bietet die Websuche als separate Einstellung auf Organisationsebene an, mit der Nutzer Rovo um öffentliche Webseiten als Quelle erweitern können. PromptArmor erklärte jedoch, dass das Abschalten dieser Option die eigene Angriffskette nicht stoppte, weil die ausgehende Anfrage über eine separate Fähigkeit zum Abruf von URLs lief. Die Firma beschreibt die Ursache knapp so: Es werde nicht geprüft, ob die geöffnete URL eine vom Agenten selbst konstruierte Adresse sei. Zudem verweist der Bericht darauf, dass Rovo Markdown-Bilder aus Modell-Ausgaben rendert, also auf einen zweiten möglichen Abflussweg; eine vollständige Angriffskette über diese Route wurde für Rovo dort aber nicht demonstriert.

Für Kunden gibt es daher keine klassische Patch-Aufgabe. Der Link-basierte Fehler wurde auf Atlassians Seite geschlossen. Für den in Inhalten eingebetteten Angriffsweg verweist der Quelltext auf organisatorische Steuerung: Unternehmen können prüfen, welche Apps und Gruppen Zugriff auf Rovo haben, und den Umfang der zugrunde liegenden Berechtigungen sowie der Konnektoren einschränken. Nach Atlassians Dokumentation ist Rovo auf Standard-, Premium- und Enterprise-Tarifen für Apps standardmäßig aktiviert, und alle Personen in einer Organisation können die Funktionen nutzen. Administratoren können Rovo aber für unterstützte Apps blockieren; in der neueren Enterprise-Zugriffsverwaltung lässt sich Rovo zudem nach App und Nutzergruppe steuern.

Atlassian dokumentiert allerdings eine Einschränkung: Auf einer Site mit mehreren Jira-Familien-Apps entfernt das Blockieren einer einzelnen App die gemeinsam genutzten Fähigkeiten nicht vollständig. Rovo Search, Chat und Create with Rovo bleiben verfügbar, solange auf dieser Site noch irgendeine Jira-App Rovo aktiviert hat.

Weder der Bericht von Varonis noch der von PromptArmor nennt eine CVE-Kennung. Suchen in der NVD und in CISA’s Katalog der bekannten ausgenutzten Schwachstellen ergaben laut Quelltext bis zum 8. August 2026 für keinen der beiden Fälle einen Eintrag. Hinweise auf den Einsatz einer der beiden Techniken gegen eine reale Organisation enthalten die Veröffentlichungen ebenfalls nicht. Offen bleibt damit nur noch der Status der PromptArmor-Variante: PromptArmor schrieb bei Veröffentlichung am 5. August 2026, der Weg sei noch offen; ob er später behoben wurde, ist im Quelltext nicht bestätigt.