Честно, с этими новыми safe-linking и Full RELRO я бы не сильно заморачивался с unsorted bin — часто получше с IO_2_1_stdout поработать, там хоть partial overwrite иногда срабатывает. Понятно, что это не всегда просто, но unsorted bin для кучи больших чанков — это всё больше геморрой, чем удобство. Лучше пытаться стабильнее вытаскивать heap leak через структуры _IO_file, чем ждать, что unsorted bin тебе сработает.