RovoBlast : un simple lien suffit à faire fuiter Jira et Confluence via l'assistant IA d'Atlassian

Rapport CTI technique du 9 août 2026

Résumé exécutif

Varonis Threat Labs a découvert RovoBlast, une technique d'exfiltration de données en un clic contre Rovo, l'assistant IA d'entreprise d'Atlassian intégré à Jira, Confluence, Bitbucket et connecté à des dizaines d'applications SaaS tierces (Slack, Microsoft 365, Google Workspace). Le paramètre d'URL rovoChatPrompt permet de préremplir un prompt complet directement dans Rovo Chat : un utilisateur authentifié qui clique sur un lien forgé voit ses instructions injectées exécutées avec ses propres privilèges, sans jailbreak, sans contournement de permission, et sans aucune confirmation affichée. L'agent ResearchAgent de Rovo, capable de navigation web autonome en plusieurs étapes, transforme cette primitive en chaîne d'exfiltration complète : récupération de données internes puis publication vers un serveur contrôlé par l'attaquant, en un seul clic initial.

Indépendamment, la société PromptArmor a documenté une seconde voie via injection de prompt indirecte classique : un document uploadé porteur d'instructions cachées suffit à faire collecter et exfiltrer des données Jira/Confluence par Rovo, sans étape d'approbation séparée, même lorsque l'option de recherche web est désactivée au niveau organisationnel. Seule la faille RovoBlast est confirmée corrigée côté serveur par Atlassian (8 juillet 2026, validée par Bugcrowd). Le statut du vecteur PromptArmor après sa publication du 5 août reste, à la date de rédaction, non confirmé.

Chronologie

Date	Événement
Janvier 2026	Varonis publie Reprompt, une technique similaire de type Parameter-to-Prompt contre Microsoft Copilot, précurseur conceptuel de RovoBlast
23 mai 2026	PromptArmor divulgue sa découverte à Atlassian, obtient un numéro de dossier deux jours plus tard
4 juin puis 29 juillet 2026	Relances de PromptArmor auprès d'Atlassian sans réponse complémentaire rapportée
8 juillet 2026	Atlassian déploie un correctif côté serveur pour RovoBlast (paramètre rovoChatPrompt) ; Varonis valide la correction
5 août 2026	PromptArmor publie son rapport, décrivant le vecteur d'injection via document comme non résolu à cette date
8 août 2026	The Hacker News publie sa synthèse des deux recherches ; Varonis détaille RovoBlast dans un article technique complet

Fiche vulnérabilité (format fiche CTI)

Aucune des deux failles n'a reçu d'identifiant CVE : les recherches de NVD et du catalogue CISA KEV ne renvoient aucun résultat pour l'une ou l'autre à la date du 8 août 2026.

RovoBlast (paramètre rovoChatPrompt) | Pas de CVE ; classée P2 sur l'échelle de priorité Bugcrowd, prime de 6 000 dollars | Rovo Chat (assistant IA Atlassian), connecteurs Jira, Confluence, SharePoint, Outlook

Le paramètre d'URL rovoChatPrompt (utilisé dans des liens du type https://home.atlassian.com/chat?rovoChatPathway=chat&rovoChatPrompt=<prompt>) précharge un prompt attaquant directement dans la session Rovo Chat de l'utilisateur qui clique sur le lien. Conditions d'exploitation : un clic authentifié suffit, aucune interaction supplémentaire n'est requise ; l'identifiant d'organisation dans le chemin /o/<ID>/chat peut être laissé vide, Atlassian redirigeant alors automatiquement vers l'organisation par défaut de l'utilisateur. PoC disponible : oui, démontré par Varonis avec exfiltration réussie d'une clé API privée depuis Confluence, et testé avec succès contre Jira ainsi que des données accessibles via les connecteurs SharePoint et Outlook. Patch : correctif serveur déployé par Atlassian le 8 juillet 2026, validé par le chercheur ; aucune action côté client n'est nécessaire pour ce vecteur spécifique.

Injection de prompt indirecte via document uploadé (PromptArmor) | Pas de CVE, pas de score CVSS | Rovo (recherche Jira/Confluence, capacité de récupération d'URL)

Un document contenant des instructions cachées, uploadé par un utilisateur légitime qui demande ensuite à Rovo de l'utiliser (par exemple pour organiser ses tickets Jira), amène l'assistant à traiter une partie du texte du document comme des instructions à exécuter. Rovo recherche alors dans Jira et Confluence comme demandé, mais ajoute également le contenu trouvé à une URL contrôlée par l'attaquant et l'ouvre, permettant à ce dernier de lire les données exfiltrées dans les logs de son propre serveur. PromptArmor précise que désactiver l'option de recherche web au niveau organisation ne bloque pas cette chaîne, car la requête sortante utilise une capacité de récupération d'URL distincte de la recherche web. PoC disponible : oui, publié par PromptArmor avec captures d'écran du flux complet. Patch : non confirmé au 8 août 2026 ; la seule divulgation publique disponible date du 5 août et ne mentionne pas de correction.

Diagramme de la chaîne d'attaque

Reconstitution de la chaîne d'exploitation en un clic documentée par Varonis Threat Labs, publiée le 7 août 2026.

Analyse technique

Étape 1 : un lien comme vecteur d'injection (Parameter-to-Prompt)

Varonis qualifie cette classe de technique de Parameter-to-Prompt (P2P), déjà identifiée en janvier 2026 sur Microsoft Copilot sous le nom Reprompt. Le principe est constant d'une plateforme IA à l'autre : un paramètre d'URL conçu pour préremplir une saisie utilisateur légitime (ici, ouvrir Rovo Chat avec une question pré-écrite) devient un canal d'injection dès lors que rien ne distingue, côté application, un prompt saisi par l'utilisateur d'un prompt injecté via l'URL. Contrairement à Reprompt, RovoBlast ne nécessite pas de double requête : un seul clic P2P suffit généralement à faire récupérer et résumer des données sensibles par Rovo.

Étape 2 : absence de marquage de confiance sur la session

Une fois le lien cliqué, Rovo traite le contenu du paramètre comme une entrée de confiance au sein de la session déjà authentifiée de l'utilisateur dans son navigateur. Varonis a observé en test une absence quasi totale de garde-fou : aucun avertissement, aucune confirmation, aucun label de traçage indiquant que la session a été amorcée par un paramètre externe. La requête hérite silencieusement des accès et de l'identité de l'utilisateur légitime, rendant l'action indiscernable d'un usage normal de l'assistant du point de vue des journaux d'audit.

Étape 3 : reconnaissance de la surface de données accessible

Rovo agit comme une couche d'accès fédérée à l'ensemble de l'écosystème Atlassian et à toute application SaaS connectée : Jira, Confluence, Bitbucket, Slack, Google Workspace, Microsoft 365, bases de données relationnelles, fichiers uploadés, pages web, archives, et plus de cinquante plateformes supplémentaires via les Rovo Connectors. Une simple demande à l'assistant de lister ses sources de données suffit à révéler cette surface complète sans nécessiter de contournement.

Étape 4 : ResearchAgent comme moteur d'exfiltration clé en main

L'agent ResearchAgent, présenté comme un outil de recherche internet standard, dispose en réalité de capacités de recherche web multi-sources et de navigation autonome en plusieurs étapes à travers des sites web arbitraires. Combinée à un prompt injecté, cette autonomie transforme la chaîne récupération-transformation-envoi en une seule séquence d'actions déclenchée par le clic initial, sans interaction utilisateur supplémentaire. C'est ce qui fait passer le risque de "Rovo peut fuiter des données en cas d'abus" à "Rovo embarque une automatisation qui accélère l'exfiltration une fois détourné".

Étape 5 : sortie des données via un canal de confiance

La donnée collectée quitte l'environnement via une requête que ResearchAgent effectue lui-même vers une URL contrôlée par l'attaquant, qu'il s'agisse d'une publication web directe ou, dans la variante PromptArmor, d'une requête de récupération d'URL enrichie du contenu Jira/Confluence trouvé. Dans les deux cas, la sortie emprunte un canal que l'assistant est censé utiliser normalement (recherche web, récupération d'URL), ce qui la rend difficile à distinguer d'une activité légitime au niveau du réseau.

Indicateurs de compromission

Il s'agit de failles de logique applicative dans un SaaS cloud, sans hash de fichier ni infrastructure malveillante classique associée. Les indicateurs pertinents concernent la structure des requêtes et le comportement de l'agent.

Type	Valeur
Paramètre d'URL abusé	rovoChatPrompt dans les liens https://home.atlassian.com/chat?rovoChatPathway=chat&rovoChatPrompt=<prompt>
Comportement suspect	Session Rovo Chat initiée immédiatement après un clic sur un lien externe (email, message, document partagé)
Comportement suspect	Activité ResearchAgent (navigation web multi-étapes) immédiatement après l'ouverture d'un document uploadé par l'utilisateur
Rapport de divulgation	Bugcrowd disclosure bf1922fb-99d0-4d3b-b419-1728720d29ec
Vecteur alternatif documenté	Upload de document contenant une injection de prompt cachée, suivi d'une demande de traitement Jira/Confluence

MITRE ATT&CK

Ni Varonis ni PromptArmor ne publient de cartographie ATT&CK officielle pour ces recherches ; la correspondance ci-dessous est une lecture technique propre à cette rédaction.

Tactique	Technique	ID	Justification
Initial Access	Phishing: Spearphishing Link	T1566.002	Le lien piégé contenant le paramètre rovoChatPrompt constitue le vecteur d'amorçage
Initial Access	Phishing: Spearphishing Attachment	T1566.001	Le document uploadé porteur de l'injection cachée (vecteur PromptArmor)
Execution	User Execution: Malicious Link	T1204.001	L'exécution des instructions injectées dépend d'un clic utilisateur unique
Collection	Data from Information Repositories	T1213	Collecte de données Jira et Confluence via les capacités de recherche fédérée de Rovo
Collection	Automated Collection	T1119	Navigation et collecte multi-étapes automatisées par ResearchAgent
Exfiltration	Exfiltration Over Web Service	T1567	Envoi des données collectées vers un serveur externe via une requête web initiée par l'agent
Defense Evasion	Valid Accounts	T1078	L'action hérite silencieusement de l'identité et des privilèges de l'utilisateur légitime

Remédiation : checklist opérationnelle

Réduire le rayon d'action de Rovo en limitant explicitement les systèmes et connecteurs auxquels il a accès, en particulier pour les domaines sensibles (juridique, RH, finance, réponse à incident).
Désactiver les connecteurs et intégrations Rovo non utilisés activement pour réduire la surface fédérée exploitable.
Désactiver les fonctionnalités de navigation autonome et d'automatisation multi-étapes de ResearchAgent pour les équipes qui n'en ont pas l'usage métier.
Ne pas considérer le simple désactivation de l'option de recherche web organisationnelle comme une barrière de sécurité suffisante : PromptArmor démontre que la capacité de récupération d'URL reste exploitable indépendamment.
Utiliser les options d'administration Rovo pour restreindre l'accès par application et par groupe d'utilisateurs plutôt qu'un choix binaire tout-ou-rien, en gardant en tête qu'Atlassian précise que désactiver Rovo sur une application Jira d'un site n'élimine pas les capacités partagées (Search, Chat, Create) tant qu'une autre application Jira du même site le garde actif.
Auditer les journaux Rovo à la recherche de sessions initiées via des liens externes contenant le paramètre rovoChatPrompt, et alerter sur toute activité d'agent immédiatement consécutive à l'ouverture d'un document uploadé.
Sensibiliser les utilisateurs à ne jamais cliquer sur des liens Atlassian non sollicités reçus par email ou message, même en apparence légitimes, et à signaler tout document demandant un traitement inhabituel par un assistant IA.
Suivre la documentation Atlassian sur la gestion de l'accès Rovo pour Enterprise, qui permet une granularité plus fine que les plans Standard et Premium.
Considérer, pour les organisations à forte exposition, un audit périodique consistant à tester la réaction de l'environnement à des prompts injectés simulés, comme le recommande Varonis.