Где хранятся данные HttpSession?

HttpSession - это высокоуровневый интерфейс, построенный поверх cookies и url-rewriting, что означает, что на стороне клиента хранится только идентификатор сессии, а данные, связанные с ним, хранятся на стороне сервера.

Где на самом деле хранятся данные HttpSession на стороне сервера? В памяти JVM или где-то еще? Могу ли я изменить место хранения, например, сохранить их в базе данных in-memory?

Если они не хранятся в базе данных, существует ли проблема параллелизма, когда многие клиенты работают с одними и теми же данными сессии одновременно?