diff --git a/kdc/kerberos5.c b/kdc/kerberos5.c
index d7662658f..95a74927f 100644
--- a/kdc/kerberos5.c
+++ b/kdc/kerberos5.c
@@ -840,6 +840,7 @@ _kdc_encode_reply(krb5_context context,
         const char *msg = krb5_get_error_message(context, ret);
 	kdc_log(context, config, 0, "krb5_crypto_init failed: %s", msg);
 	krb5_free_error_message(context, msg);
+	free(buf);
 	return ret;
     }