Vous avez déjà envoyé une partie de la réponse (via les writer/outputstream) avant de créer la session (via request.getSession()), ce qui est impossible à faire puisque les idnetificant de sessions...