fix CVE-2016-6866