Для него не установлен реальный лимит. Это просто объекты, хранящиеся в .Net. Применяются стандартные ограничения процесса Windows. Вы можете применить глобальный лимит в IIS (настройки AppPool).
Однако следует учитывать при использовании службы состояний ASP.Net или хранилища состояний SQL. Объект Session должен быть сериализован, отправлен в хранилище, восстановлен и десериализован. Это очень дорогой процесс. Поэтому вы хотите ограничить объем данных, хранящихся в сеансе.
Если вы используете внутреннее хранилище состояний, то сессия просто сохраняется в памяти (без накладных расходов), но этот подход обычно плохо масштабируется с веб-кластерами.