Rovo kann Jira- und Confluence-Daten an Angreifer senden

Worum es geht

Sicherheitsforscher haben zwei getrennte Wege dokumentiert, über die Atlassian Rovo Daten aus Jira und Confluence an einen fremden Server senden konnte. Varonis veröffentlichte den als RovoBlast bezeichneten Ein-Klick-Angriff am 7. August 2026. PromptArmor hatte bereits am 5. August einen anderen Pfad beschrieben, bei dem versteckte Anweisungen in hochgeladenen oder verbundenen Inhalten stecken.

Der Unterschied ist wichtig: Atlassian schloss den von Varonis gemeldeten Link-Angriff serverseitig am 8. Juli. PromptArmor erklärte dagegen bei der Veröffentlichung, sein inhaltsbasierter Angriff funktioniere weiterhin. Eine spätere Bestätigung durch Atlassian oder eine unabhängige Reproduktion liegt dafür nicht vor. Es gibt zudem keinen Beleg, dass einer der beiden Wege in realen Organisationen missbraucht wurde.

Was Rovo tatsächlich macht

Rovo durchsucht Informationen, auf die ein angemeldeter Nutzer in Atlassian-Produkten und verbundenen Diensten zugreifen darf. Genau diese nützliche Reichweite wird im Angriff zum Risiko. Bei RovoBlast steckte eine präparierte URL Anweisungen in den Parameter rovoChatPrompt. Öffnete ein angemeldeter Nutzer den Link, übernahm Rovo die Anweisung in eine vertrauenswürdige Sitzung, suchte erreichbare Informationen und rief eine vom Angreifer kontrollierte Adresse auf. Die Daten konnten dabei in der URL landen.

PromptArmor nutzte einen anderen Einstieg: Ein Dokument oder externer Inhalt enthielt eine versteckte Prompt-Injektion. Rovo sollte beispielsweise Jira-Tickets ordnen, las dabei die fremde Anweisung und übermittelte gefundene Inhalte über sein Werkzeug zum Öffnen von URLs. Laut PromptArmor funktionierte das auch dann, wenn die Websuche in der Organisation deaktiviert war. Das Unternehmen führt dies darauf zurück, dass die Funktion zum Öffnen einer URL weiterhin verfügbar blieb.

Warum das wichtig ist

Der Angriff umgeht nach den veröffentlichten Nachweisen keine Zugriffsrechte zwischen Mandanten. Er nutzt vielmehr die Rechte des Opfers. Das macht ihn für Unternehmen trotzdem ernst: Ein Mitarbeiter kann in Jira Projektdetails, Kundentickets oder interne Schwachstellen sehen und in Confluence zusätzlich Strategien, Protokolle oder technische Dokumentation. Rovo verbindet diese Quellen absichtlich; eine manipulierte Anweisung kann diese Reichweite für den Datenabfluss verwenden.

Der Bugcrowd-Eintrag bewertet RovoBlast als P2, nennt eine Prämie von 6.000 US-Dollar und markiert den Fall als behoben. Für den von PromptArmor beschriebenen Inhaltsangriff ist die Lage weniger eindeutig. Dessen Bericht nennt den 23. Mai als Meldedatum und den 5. August als Veröffentlichungstag, nachdem nach Angaben der Forscher keine weitere Rückmeldung kam. Unternehmen sollten deshalb nicht aus der Behebung eines Pfads schließen, dass jede indirekte Prompt-Injektion beseitigt ist.

Einfach erklärt

Man kann sich Rovo wie einen Assistenten mit einem Schlüsselbund vorstellen. Er darf nur Räume öffnen, für die der Mitarbeiter ohnehin einen Schlüssel hat. Ein präparierter Zettel kann ihm jedoch vortäuschen, er solle Unterlagen aus diesen Räumen kopieren und an eine fremde Adresse schicken. Das Schloss funktioniert korrekt; problematisch ist, dass der Assistent den fremden Auftrag als echte Arbeitsanweisung behandelt.

Praktisches Beispiel

Eine Projektleiterin darf 250 Jira-Tickets und 40 Confluence-Seiten eines Kundenprojekts lesen. Sie lädt einen scheinbaren Leitfaden hoch und bittet Rovo, zehn überfällige Aufgaben zusammenzufassen. Im Dokument steckt unsichtbar die Anweisung, gefundene Inhalte an angreifer.example anzuhängen.

Wenn der beschriebene Inhaltsangriff greift, kann Rovo nicht plötzlich alle Daten des Unternehmens lesen. Es kann aber jene Tickets und Seiten verarbeiten, die im Rechtebereich der Projektleiterin liegen, und Ausschnitte davon über einen ausgehenden Aufruf übertragen. Genau deshalb helfen begrenzte Berechtigungen und eng gefasste Verbindungen: Sie verkleinern den möglichen Schaden, auch wenn die Prompt-Injektion selbst nicht zuverlässig erkannt wird.

Einordnung und Grenzen

• Der Ein-Klick-Pfad über rovoChatPrompt wurde laut Bugcrowd serverseitig behoben und von den Forschern überprüft. Kunden müssen dafür keinen eigenen Patch installieren.
• Der Status des separaten, inhaltsbasierten Pfads beruht auf PromptArmors Bericht vom 5. August. Eine aktuelle Stellungnahme von Atlassian und eine unabhängige Bestätigung fehlen.
• Die Berichte zeigen einen möglichen Datenabfluss im Rechtebereich des angemeldeten Nutzers, aber keinen mandantenweiten Rechtebruch und keinen bekannten Angriff in freier Wildbahn.

Administratoren können Rovo für unterstützte Apps oder Nutzergruppen begrenzen, zugrunde liegende Rechte prüfen und Verbindungen auf das Nötige reduzieren. Das Abschalten der Websuche allein sollte nach dem PromptArmor-Bericht nicht als vollständige Sicherheitsgrenze gelten.

SEO- und GEO-Schlüsselbegriffe

Atlassian Rovo, RovoBlast, Jira, Confluence, Prompt Injection, Datenabfluss, Varonis Threat Labs, PromptArmor, Bugcrowd, KI-Sicherheit