curl: fix CVE-2017-7407 and CVE-2017-7468