Atlassian Rovo Sicherheitsalarm zeigt Daten Exfiltration Vektoren von Benutzern authentifiziert durch URL und geladenen Inhalt

Zwei unabhängige Sicherheitsteams, die im Juli und August 2026 beschrieben wurden, können auf verschiedene Weise dazu führen, dass Rovo - der integrierte IA-Assistent in Atlassian-Produkten - Daten extrahieren kann, auf die ein authentifizierter Benutzer bereits Zugriff hat und an einen externen Server sendet, der von einem Angreifer gesteuert wird. Die von Atlassian bestätigte und geschlossene Kette beinhaltet eine Kette, die aus einem URL-Parameter (rovoChatPrompt) aktiviert wurde; eine andere, von einem anderen Unternehmen veröffentlicht, beschreibt eine Injektion von versteckten Anweisungen innerhalb der Inhalte, die Rovo verarbeitet und deren Mediationszustand vom Hersteller zum Zeitpunkt der ursprünglichen Kommunikation nicht öffentlich bestätigt wurde..

Konfirmierte Fakten: Varonis Threat Labs berichtete, dass ein URL-Parameter (rovoChatPrompt) schädliche Anweisungen auf Rovo Chat vorladen könnte, so dass ein authentifizierter Benutzer, der auf einen Link klicken, diese Anweisungen mit seinen Privilegien und den Assistenten exfiltert Daten ausführen wird; dieser Bericht wurde durch Bugcrowd divulged, und Bugcrowd's Record zeigt an, dass Atlassian eine serverseitige Anordnung am 8. Juli 2026 eingesetzt und die Korrektur. Am 5. August 2026 veröffentlichte ProptArmor getrennt einen Konzepttest, in dem eine mit versteckten Anweisungen hochgeladene Datei Rovo dazu brachte, nach internen Inhalten zu suchen und eine externe URL mit diesen Ergebnissen zu öffnen, ohne ausdrückliche zusätzliche Zustimmung des Benutzers. Linkbasierte Vektorkorrektur wird bestätigt; Inhaltsbasierter Kettenstatus wurde von seinem Entdecker als ungelöst beschrieben, wenn er veröffentlicht wurde. Darüber hinaus zeigten öffentliche Recherchen in Datenbanken, die von den Forschern selbst (z.B. NVD und CISA-Katalog) angezeigt wurden, keine Kennungen oder Einträge, die mit diesen Fehlern verbunden sind, zum 8. August 2026 ( NVD, CISA KEV)

Wie die beschriebenen Ketten technisch funktionieren: Rovo arbeitet mit den authentifizierten Benutzerberechtigungen und Sie können Jira, Confluence und externe Steckverbinder nach den Einstellungen und dem zulässigen Umfang konsultieren. In der von Varonis erkannten Variante hat ein URL-Parameter eine vollständige Eingabeaufforderung in die Rovo-Sitzung vorinjiziert; mit einem einzigen Klick eines authentifizierten Benutzers, der Assistent führt diese Anweisungen aus, sammelt Benutzer zugängliche Informationen (z.B. Tickets oder Seiten) und integriert es in den Pfad eines Bildes oder eine Anfrage, die Rovo bekommt - diese Anfrage kommt zum angreifenden Server, wo es registriert wird. In der von ProptArmor veröffentlichten Variante hat der Angreifer Anweisungen in eine benutzerbelastete Datei eingefügt; Rovo behandelte einen Teil des Inhalts der Datei als Richtlinien und führte interne Recherchen und eine Anfrage, die auf eine mit den Ergebnissen erstellte URL übergeht. In beiden Fällen wird eine Erhöhung der Privilegien nicht demonstriert: was herauskommt ist, was der authentifizierte Benutzer bereits sehen konnte, ohne dass der Benutzer die Exfiltration bewusst genehmigt hat.

Was dies impliziert und wer es betrifft: die Hauptwirkung ist die Exfiltration von Daten, auf die ein legitimer Benutzer Zugriff hat, ohne dass der Benutzer die Übertragung explizit initiiert hat. Dies ist keine Umgehung von Mieter-Level-Berechtigungen, die es Ihnen ermöglicht, Informationen außerhalb der normalen Reichweite des Benutzers zu sehen, sondern einen neuen Vektor, mit dem autorisierte Daten die Organisation verlassen können. In Organisationen, in denen Rovo standardmäßig aktiviert ist (von Atlassian für Standard-, Premium- und Enterprise-Pläne) könnte jeder mit Zugriff auf diese Funktionen versehentlich eine dieser Ketten aktivieren. Das Risiko ist höher in Umgebungen mit breiten Steckverbindern (SharePoint, Outlook, API-Schlüssel in Confluence, etc.), wo ein einzelner Benutzer sensible Daten konsultieren kann.

Was bestätigt wird und was nicht: bestätigt ist, dass die URL-Parameterkette gemeldet wurde, von Atlassian korrigiert und vom Forscher validiert; bestätigt ist auch, dass ProptArmor einen Konzepttest veröffentlichte und erklärte, dass seine Methode noch mit der Option "web search" deaktiviert in Rovo gearbeitet. Es wird nicht bestätigt, ob Atlassian nach dem 5. August zusätzliche Änderungen vorgenommen hat, die den von ProptArmor beschriebenen Weg mildern; es gibt auch keine Beweise für die tatsächliche Ausbeutung der ursprünglichen Offenlegungen in Kundenumgebungen. Ab dem 8. August gab es keine öffentlichen Einträge in der NVD oder im CISA-Katalog mit diesen Ketten.

Spezifische Maßnahmen, die unmittelbar von Managern und Nutzern zu ergreifen sind: 1) Überprüfen Sie, welche Apps und Gruppen Rovo aktiviert haben:: in Organisationen mit administrativen Kontrollen, begrenzen Rovo auf streng notwendige Gruppen und deaktivieren Sie es in Anwendungen, die keine unterstützte Intelligenz benötigen. 2) Nicht nur, um sich auf die "Websuche" zu verlassen. ProptArmor zeigte, dass Rovo kann URLs anders komponieren und wiederherstellen; behandeln Sie diese als Schicht, nicht eine komplette Barriere. 3) Wiederherstellen und Vorsprechen-Steckverbinder: reduzieren Sie die Reichweite von Steckverbindern (SharePoint, Outlook, andere) und wenden Sie das Prinzip des kleinen Privilegs in Anmeldeinformationen und API-Tasten an. 4) Überwachen Sie Ausgabeachsen und Proxy-Datensätze: Aktivieren Sie detaillierte HTTP / HTTPS Ausgabeprotokolle, überprüfen Sie ausgehende Anfragen, die von Teilnehmern generiert werden, und suchen Sie nach Fitch-Mustern auf unerwartete externe Domänen. 5) Ergänzen Sie Egress- und DLP-Kontrollen, um zu blockieren oder zu alarmieren, wenn Inhalte mit sensiblen Daten aus erlaubten Domänen gesendet werden. (6) Verdrehen von evidenzbehafteten Anmeldeinformationen und Überprüfungsprüfungen neuer Zugriffe, wenn die Exposition vermutet wird. 7) Beraten Sie den Minderungsstatus mit Atlassian und pflegen Sie aktuelle Systeme; bitten Sie um Klärung, ob zusätzliche Fixes auf das URLs-Recovery-Verhalten des Agenten angewendet wurden.

Zusätzliche technische Empfehlungen für Sicherheitsausrüstung: Deaktivieren Sie die automatische Renderierung von Remote-Bildern in Inhalten, die von der IA generiert werden, soweit möglich (dies reduziert einen URLs Exfiltrationskanal von Bildern in Markdown), Kraftvalidierung von externen Domänen durch eine weiße Liste, und üben interne Rebound-Team-Tests, die auf Injektionen von Eingabeaufforderungen neben erhöhten Inhalten gerichtet sind. Für Entwickler und Identitätsmanager überwachen Session-Attribute und Block-Aktionen, bei denen die externen Ressourcen von Sitzungen mit erhöhten Reichweiten ohne ausdrückliche Zustimmung angepasst werden.

Kurz gesagt: Eine Schwachstelle auf der Basis von URL-Parameter wurde von Atlassian bestätigt und korrigiert; eine zweite Injektionstechnik innerhalb von Inhalten, die der Assistent verarbeitet, wurde öffentlich verbreitet und seine Mediation wurde nicht in der Originalkommunikation dokumentiert. Die tatsächliche Exposition ist die Ausgabe von Daten, die der Benutzer bereits sehen kann, nicht eine Eskalation von Privilegien standardmäßig, aber das reduziert nicht die Dringlichkeit: in Umgebungen, in denen IA-Besucher mit mehreren internen Quellen integriert sind, kann ein einzelner Benutzer die Möglichkeit, stille oder unbemerkte Informationen zu filtern, signifikant sein. Organisationen sollten auf Konfiguration, Berechtigungen, Registrierung und Entlastung handeln, um das Risiko zu mindern, während sie auf Klärung und abschließende Patches des Lieferanten warten.