curl: backport fix for CVE-2019-15601