Dos firmas de seguridad descubrieron vulnerabilidades en el asistente Rovo de Atlassian que permitían a atacantes extraer datos privados de Jira y Confluence hacia servidores externos. Una falla mediante enlaces maliciosos ya fue corregida por Atlassian, mientras que otra, basada en instrucciones ocultas en archivos cargados, permanecía sin confirmación de cierre al momento del reporte. La mitigación recomendada es restringir el acceso de Rovo a aplicaciones y grupos específicos.






Las instrucciones controladas por un atacante pueden hacer que el asistente Rovo de Atlassian recopile datos de Jira o Confluence a los que un usuario conectado tenga acceso y luego los envíe a un servidor externo. Dos empresas de seguridad descubrieron este comportamiento de forma independiente, a través de rutas distintas. Solo una de esas rutas se ha confirmado como cerrada.

PromptArmor, una firma de seguridad de IA, ocultó las instrucciones en el contenido que lee Rovo. Afirmó que un archivo cargado era suficiente para que el asistente reuniera datos internos y los enviara a través de una solicitud de URL, sin ningún paso de aprobación separado.

La empresa publicó el 5 de agosto de 2026 y señaló que la cadena seguía funcionando incluso con la opción de búsqueda web de Rovo desactivada. Ese bypass proviene de una sola fuente, y el informe establece el estado del hallazgo solo en esa fecha; no se confirma aquí una remediación posterior.

Varonis Threat Labs, en cambio, colocó las instrucciones en un enlace. Descubrió que el parámetro de URL rovoChatPrompt precargaba instrucciones del atacante en Rovo Chat, por lo que un solo clic de un usuario autenticado era suficiente para que Rovo las ejecutara con los privilegios de ese usuario y enviara los resultados a un servidor controlado por el atacante.

Varonis llama a este fallo RovoBlast y afirma que informó del problema a través de Bugcrowd. El registro de Bugcrowd muestra que Atlassian lo solucionó en el lado del servidor el 8 de julio de 2026, y el informante validó la corrección.

Ninguno de los dos problemas deja un parche que tú debas aplicar: el fallo del enlace fue cerrado por Atlassian, y la palanca para la ruta basada en contenido es definir qué aplicaciones y grupos pueden usar Rovo.

El archivo que transporta las órdenes

La cadena de PromptArmor [enlace] es un ataque de inyección de prompts indirecta: se coloca texto controlado por el atacante dentro del contenido que se le pide al asistente que utilice, y el modelo trata parte de ese texto como instrucciones.

En el ejemplo publicado por la firma, un usuario sube un documento que contiene una inyección oculta y le pide a Rovo que organice sus tickets de Jira. Rovo busca en Jira y Confluence según lo solicitado, añade lo que encuentra a una URL del atacante y la abre, permitiendo que el atacante lea el contenido de los tickets y páginas desde sus propios registros del servidor.

PromptArmor indicó que si tú regresas al chat más tarde, verás las actualizaciones sugeridas de los tickets y no habrá rastro de la exfiltración.



La interacción no se describe exactamente como "zero-click". Tú, como víctima, todavía tienes que exponer a Rovo al contenido envenenado y hacer una solicitud normal. La afirmación más precisa de PromptArmor es que el paso de exfiltración no requiere una aprobación humana separada.

El hallazgo de la búsqueda web es importante porque Atlassian ofrece la búsqueda web como un ajuste separado a nivel de organización. PromptArmor afirmó que desactivar esa opción no detuvo su cadena, ya que la solicitud saliente utilizaba una capacidad de recuperación de URL independiente.

Planteó la causa raíz claramente: nada verifica si la URL que se abre fue construida por el propio agente. El informe también señala que Rovo renderiza imágenes Markdown desde la salida del modelo, una segunda vía por la que los datos podrían salir, aunque no demuestra una cadena completa por esa ruta para Rovo.

La página de Atlassian para ese ajuste [enlace] no aclara si una solicitud que el asistente compone y obtiene por su cuenta cae bajo el mismo control.



PromptArmor dijo que informó del problema a Atlassian el 23 de mayo de 2026, recibió un número de caso dos días después, hizo seguimiento el 4 de junio y nuevamente el 29 de julio, y publicó la noticia tras lo que describió como una falta de comunicación posterior.

El fallo del enlace de un solo clic está solucionado

La divulgación de Bugcrowd [enlace] ofrece el registro más sólido, y Varonis ha publicado un relato más detallado [enlace] del ataque.

El parámetro rovoChatPrompt podía transportar un prompt completo en una URL de Rovo. La prueba de concepto ordenó a Rovo localizar información a la que la víctima tuviera acceso, colocarla en la ruta de una URL de imagen controlada por el atacante y solicitar la imagen. Esa solicitud entregaba los datos al servidor del atacante.

El informante demostró la exfiltración de una clave API privada de Confluence, y Bugcrowd afirma que la misma técnica de un solo clic fue probada contra Jira y datos accesibles a través de conectores de SharePoint y Outlook.

El informe fue calificado como P2 en la escala de prioridad de Bugcrowd y obtuvo una recompensa de 6,000 dólares; Atlassian implementó la solución en el servidor el 8 de julio y el informe está marcado como resuelto.

Permisos y qué se puede desactivar

El acceso a los datos de Rovo sigue los permisos configurados [enlace] en los productos de Atlassian y aplicaciones de terceros conectadas. Por lo tanto, el riesgo mostrado es la información a la que la víctima conectada puede acceder, no un bypass de autorización general de todo el tenant.

Las demostraciones añaden una ruta para que los datos permitidos salgan, sin que la persona que posee esos permisos haya elegido enviarlos nunca.

Rovo está activado por defecto para aplicaciones en planes Standard, Premium y Enterprise. Los administradores no están limitados a una opción de "todo o nada".

Las organizaciones pueden bloquear las funciones de Rovo para aplicaciones compatibles [enlace], lo que desactiva las funciones de IA actuales y futuras para esa aplicación. La experiencia de acceso más reciente de Enterprise [enlace] también puede gestionar Rovo por aplicación y grupo de usuarios.

Atlassian documenta una advertencia: en un sitio que ejecute varias aplicaciones de la familia Jira, bloquear una de ellas no elimina las capacidades compartidas. Rovo Search, Chat y Create con Rovo permanecen disponibles mientras cualquier aplicación de Jira en ese sitio tenga Rovo habilitado.

El fallo del enlace ya está solucionado por Atlassian. Para el riesgo separado basado en contenido, las organizaciones pueden revisar qué aplicaciones y grupos tienen acceso a Rovo, reforzar los permisos subyacentes y evitar tratar el interruptor de búsqueda web por sí solo como un límite de seguridad completo.

Ninguna de las divulgaciones reporta evidencia de que estas técnicas hayan sido utilizadas contra una organización real. Una ruta está confirmada como cerrada; PromptArmor dijo que la otra no estaba resuelta al publicar el 5 de agosto, y su estado posterior sigue sin confirmarse.

Fuente:
THN