Platform manajemen kerja Asana memperingatkan pengguna tentang fitur model konteks protokol (MCP) yang baru bahwa cacat dalam implementasinya berpotensi menyebabkan paparan data dari contoh mereka ke pengguna lain dan sebaliknya.
Paparan data disebabkan oleh cacat logika dalam sistem MCP dan bukan hasil peretasan, tetapi risiko yang muncul dari insiden tersebut masih bisa signifikan dalam beberapa kasus.
Asana adalah platform Proyek dan Manajemen Tugas SaaS yang digunakan oleh organisasi untuk merencanakan, melacak, dan mengelola pekerjaan, menetapkan tugas kepada anggota tim, menetapkan tenggat waktu, dan berkolaborasi dari antarmuka terpusat.
Pada tahun lalu, platform ini memiliki lebih dari 130.000 pelanggan yang membayar dan jutaan pengguna tingkat bebas di 190 negara.
Pada tanggal 1 Mei 2025, Asana memperkenalkan fitur server MCP dengan integrasi Model Bahasa (LLM) yang besar, memungkinkan kemampuan bertenaga AI seperti peringkasan, balasan pintar, kueri bahasa alami, dan banyak lagi.
Namun, bug perangkat lunak di server MCP mengekspos data dari instance asana ke pengguna MCP lainnya, dengan tipe data terbatas pada ruang lingkup akses setiap pengguna.
Ini berarti bahwa organisasi tidak memiliki seluruh ruang kerja asana mereka bocor kepada publik. Namun, pengguna perusahaan lain dengan akses ke MCP mungkin telah melihat data tertentu dari domain lain, termasuk kueri yang dihasilkan chatbot.
Bergantung pada jenis integrasi dan keterlibatan dengan chatbots, data yang diekspos dapat mencakup informasi tingkat tugas, metadata proyek, detail tim, komentar dan diskusi, dan file apa pun yang diunggah.
Asana menemukan cacat logika yang menciptakan paparan ini pada 4 Juni, sehingga kebocoran data silang ini terjadi selama lebih dari sebulan.
Mengingat peran fungsional Asana dalam organisasi, ada kemungkinan bahwa kebocoran ini berisi informasi sensitif yang dapat menciptakan privasi atau bahkan kompleksitas peraturan untuk entitas yang terkena dampak.
Untuk alasan ini, disarankan agar admin meninjau log asana untuk akses MCP, ulasan yang dihasilkan ringkasan atau jawaban AI, dan melaporkannya segera jika mereka melihat data yang tampaknya telah ditarik dari organisasi lain.
Integrasi LLM harus ditetapkan ke akses terbatas, dan koneksi otomatis dan pipa bot harus dijeda sampai kepercayaan telah dibangun kembali dan tidak ada risiko paparan residual.
Asana mengirim pemberitahuan dengan tautan ke formulir komunikasi ke setiap organisasi yang terkena dampak tetapi belum mengeluarkan pernyataan publik tentang insiden tersebut.
Upguard, yang memberi tahu BleepingComputer tentang masalah ini, berbagi lebih banyak detail Di ruang blognya sendiri, termasuk saran untuk pengguna yang berpotensi terkena dampak.
BleepingComputer telah menghubungi Asana untuk bertanya tentang ruang lingkup paparan dan jumlah organisasi/pengguna yang terkena dampak, dan juru bicara telah memberi tahu kami dampak insiden sekitar 1.000 pelanggan.
Sementara itu, server MCP telah diambil secara offline, tetapi Asana halaman status menunjukkan bahwa ia telah kembali ke status operasional normal seperti yang direncanakan pada 17 Juni, 17:00 UTC.
Mengapa timnya membuang manajemen tambalan manual
Patching digunakan untuk berarti skrip yang kompleks, berjam -jam, dan latihan api yang tak ada habisnya. Tidak lagi.
Dalam panduan baru ini, tines meruntuhkan bagaimana modern IT Orgs naik level dengan otomatisasi. Patch lebih cepat, mengurangi overhead, dan fokus pada pekerjaan strategis – tidak ada skrip kompleks yang diperlukan.
