Onderzoekers van Varonis Threat Labs hebben een kritieke kwetsbaarheid ontdekt in Rovo, de AI-assistent van Atlassian voor ondernemingen. Deze kwetsbaarheid, genaamd RovoBlast, maakte het mogelijk om via een speciaal samengestelde link direct kwaadaardige instructies in een actieve AI-sessie van een gebruiker te injecteren. Hiervoor was geen jailbreak of omzeiling van permissies nodig, omdat Rovo externe parameters als vertrouwde input behandelde.

Rovo fungeert als een AI-laag die verschillende Atlassian-producten zoals Jira, Confluence en Bitbucket integreert met externe tools zoals Slack, Microsoft 365 en Google Workspace. De assistent beschikt over autonome agentfuncties die complexe taken zonder verdere gebruikersinteractie kunnen uitvoeren, wat de RovoBlast-aanval mogelijk maakte. De exploit maakte gebruik van een URL-parameter, rovoChatPrompt, die inhoud direct in het chatvenster van Rovo voorinvult. Varonis omschrijft deze aanvalsvector als parameter-to-prompt (P2P) injectie, een techniek die eerder ook werd aangetroffen in Microsoft Copilot.

Onderzoekers ontdekten dat het onderdeel van de URL dat de organisatie-ID bevatte leeg kon blijven, waarna Atlassian het verzoek toch naar de standaardorganisatie van het slachtoffer leidde, zonder waarschuwing of indicatie dat de sessie was beïnvloed door externe input. Om de impact te bepalen, vroegen de onderzoekers Rovo welke data het kon inzien. Het antwoord omvatte onder meer Jira, Confluence, Bitbucket, Slack, Google Workspace, Microsoft 365, relationele databases, geüploade bestanden, webpagina’s en gearchiveerde content.

De daadwerkelijke datalekken werden veroorzaakt door ResearchAgent, een ingebouwde tool van Rovo die zelfstandig webonderzoek kan uitvoeren en door verschillende sites kan navigeren. Nadat een aanvaller via de kwaadaardige link een prompt had geïnjecteerd, kon Rovo interne data ophalen en deze automatisch naar het open web lekken. Dit werd aangetoond met proof-of-concept scenario’s waarbij Confluence-pagina’s, Jira-tickets en SharePoint-content met persoonsgegevens werden geëxfiltreerd. Een enkele geïnjecteerde link was doorgaans voldoende om het lek te veroorzaken, zonder dat meerdere verzoeken of extra omzeilingen nodig waren.

Varonis heeft de kwetsbaarheid gemeld bij Atlassian, dat het probleem heeft verholpen voordat de bevindingen openbaar werden gemaakt. De onderzoekers adviseren organisaties om de systemen waar Rovo toegang toe heeft te beperken, ongebruikte integraties te verwijderen, gevoelige afdelingen zoals juridisch, HR en financiën af te schermen, en functies voor browsen of multi-step automatisering uit te schakelen wanneer deze niet actief worden gebruikt. Daarnaast is het belangrijk om de activiteitlogs van de assistent regelmatig te monitoren.

Een woordvoerder van Atlassian benadrukte dat de beveiliging van klantdata de hoogste prioriteit heeft en dat zij klanten ondersteunen bij het implementeren van beschermingsmaatregelen. De kwetsbaarheid vereist dat een gebruiker met toegang tot een Atlassian-omgeving onbetrouwbare content aan Rovo aanlevert, wat een aanvalstype is dat AI-systemen in de hele sector treft. Atlassian raadt aan om beveiligingsmaatregelen te volgen en alleen content van vertrouwde bronnen aan hun apps te verstrekken.

De technische details van het onderzoek zijn gepubliceerd op het Varonis blog.